Stand: 22. August 2026 · Aktualisierungen werden Bestandskund:innen vorab per E-Mail angekündigt.
Diese Seite listet alle Dienstleister, die für uns personenbezogene Daten im Rahmen des Betriebs von Pflichtpilot verarbeiten (Sub-Auftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO). Sie ist Teil unserer Datenschutzerklärung und Anhang zum Auftragsverarbeitungsvertrag (AVV). Registrierte Kund:innen werden vor Aufnahme eines neuen Sub-Auftragsverarbeiters vorab per E-Mail informiert und erhalten Gelegenheit zum Widerspruch.
| Anbieter | Zweck | Verarbeitungsstandort | Vertragsentity / Sitz | Übermittlungsgrundlage | DPA / Sub-Processor-Liste | Im Einsatz seit |
|---|---|---|---|---|---|---|
| Supabase | Datenbank-Hosting & Nutzer-Authentifizierung | Frankfurt, Deutschland (Region eu-central-1) |
Supabase Pte. Ltd., 65 Chulia Street, #38-02/03, OCBC Centre, Singapur 049513 | EU-Standardvertragsklauseln (SCC), irisches Recht | DPA (aktuelle Fassung, Stand 01.06.2026, als PDF verlinkt) | 15.08.2026 (Projektstart laut Git-Historie; kein separates Cutover-Datum protokolliert) |
| Vercel | Hosting/Auslieferung der Website und serverseitiger Funktionen | USA (primäre Verarbeitung laut Vercel-Vertragstext); Content Delivery global über Edge-Netzwerk | Vercel Inc., Delaware, USA | SCC + UK IDTA im Rahmen von Vercels Standard-DPA für Pro-/Enterprise-Kund:innen. Dieser Dienst läuft auf dem Vercel-Pro-Tarif, der Standard-DPA gilt entsprechend. | DPA (Stand 17.03.2026, wirksam ab 31.03.2026) · Sub-Processor-Liste | 15.08.2026 (Projektstart laut Git-Historie; kein separates Cutover-Datum protokolliert) |
| Resend | Versand von Transaktions-E-Mails (Bestätigungen, Einladungslinks, Erinnerungen) | USA | Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114 | EU-US Data Privacy Framework (DPF), zusätzlich SCC als Rückfallebene | DPA (Stand 31.12.2025) · Sub-Processor-Liste | 15.08.2026 (Projektstart laut Git-Historie; kein separates Cutover-Datum protokolliert) |
| Backblaze B2 | Speicherung & Auslieferung von Schulungsvideos. Ihr Browser lädt Videos direkt von Backblaze herunter (zeitlich befristete, signierte Abruf-URL), dabei wird zwangsläufig auch Ihre IP-Adresse an Backblaze übermittelt. | EU-Region eu-central-003 (Amsterdam, Niederlande) |
Backblaze, Inc., 201 Baldwin Ave, San Mateo, CA 94401, USA | SCC (Backblazes DPA für EWR/EU-Ansässige) | DPA · Sub-Processor-Liste | 22.08.2026 |
| Cloudflare | DNS & E-Mail-Routing der Domain x-ren.com (kein Zugriff auf
Inhalte innerhalb von Pflichtpilot) |
Global (Anycast-Netzwerk), EU-Routing bevorzugt | Cloudflare, Inc., San Francisco, USA | SCC | DPA (Version 6.4, wirksam ab 03.04.2026) · Sub-Processor-Liste | Portfolioweiter Einsatz seit Domain-Registrierung |
Das DPF, auf das sich Resend zusätzlich zu den Standardvertragsklauseln stützt, wird rechtlich angefochten (Rechtssache C-703/25 P beim Europäischen Gerichtshof; weitere Prüfung durch noyb/Max Schrems angekündigt). Wir stützen die Übermittlung an alle US-Anbieter zusätzlich auf Standardvertragsklauseln als Rückfallebene und beobachten die Rechtsentwicklung laufend. Details siehe Datenschutzerklärung, Abschnitt 7.