Auftragsverarbeiter & Drittanbieter
Übersicht aller Dienstleister, die im Auftrag von Naturkompass personenbezogene Daten verarbeiten können. Alle Anbieter sind durch Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO gebunden.
| Anbieter | Zweck | Standort / Transfer | Verarbeitete Daten | AVV |
|---|---|---|---|---|
| Supabase Inc. | Datenbank (PostgreSQL), Authentifizierung, Datei-Storage | USA (AWS us-east-1) — Standardvertragsklauseln (SCC) | Nutzerkonten, Gartenprofile, Beobachtungen, Zertifizierungsanträge | Ja (DPA im Supabase Dashboard) |
| Vercel Inc. | Hosting, Serverless Functions, CDN | USA / EU-Edges — SCC | IP-Adressen (kurzfristig in Logs), Request-Metadaten | Ja (Vercel DPA) |
| Cloudflare R2 (Cloudflare Inc.) | Objekt-Storage für Fotos (Zertifikatsbilder, Gartenbilder) | EU | Hochgeladene Fotos (EXIF-bereinigt) | Ja (Cloudflare DPA) |
| Brevo (Sendinblue SAS) | E-Mail-Versand (transaktional und Newsletter) | EU (Frankreich) | E-Mail-Adressen, Name, Newsletter-Einwilligung | Ja (Brevo DPA) |
| Stripe Inc. | Zahlungsabwicklung (Premium-Abonnement) | USA — SCC / Privacy Shield Nachfolger | Zahlungsdaten, Rechnungsadresse (verarbeitet direkt durch Stripe) | Ja (Stripe DPA) |
| Ecwid by Lightspeed | Online-Shop (Produkte, Warenkorb, Bestellungen) | USA — SCC | Bestelldaten, Liefer- und Rechnungsadresse, E-Mail | Ja |
| Anthropic PBC | KI-Sprachmodell (Claude) — Chat-Assistent, Gartenplan-Generierung Bei kommerzieller API-Nutzung verwendet Anthropic Ein- und Ausgaben standardmäßig nicht zum Modelltraining. Eine vorübergehende Verarbeitung richtet sich nach den aktuellen Vertrags- und Aufbewahrungsbedingungen; für die API gilt grundsätzlich eine Löschung innerhalb von 30 Tagen, vorbehaltlich Ausnahmen oder abweichender Vereinbarungen. | USA — SCC | Chat-Eingaben, Gartenprofilinformationen (pseudonymisiert) | Ja (Anthropic API Terms) |
| Google LLC (Gemini API) | KI-Bildmodell (Gemini Vision) — Kamera- und Fotoanalyse Gemini wird ausschließlich für Kamera- und Fotoanalyse eingesetzt. Bilder werden nur für die jeweilige Anfrage verarbeitet; maßgeblich sind die aktuellen Google-API-Bedingungen und die konkrete Projektkonfiguration. | USA — SCC | Chat-Eingaben, Fotos (zur Analyse), Gartenprofilinformationen (pseudonymisiert) | Ja (Google Cloud DPA) |
| Upstash Inc. | Redis-Cache, Rate-Limiting (Serverless) | USA / EU — SCC | Temporäre Cache-Daten, Rate-Limit-Zähler (keine personenbezogenen Daten im Klartext) | Ja |
| YouTube (Google LLC) | Eingebettete Videos (nur nach Einwilligung) Thumbnail-Bilder werden über einen eigenen Server-Proxy geladen, ohne direkte Verbindung zum Browser zu YouTube. | USA — SCC | IP-Adresse, Nutzungsdaten beim Abspielen von Videos (nach Einwilligung) | Ja (Google Cloud DPA) |
Stand: Mai 2026. Diese Liste wird regelmäßig aktualisiert. Bei Fragen zur Datenverarbeitung wende dich an datenschutz@naturkompass.de.