Unterauftragsverarbeiter
Vollständige Liste gemäß Art. 28 Abs. 2 und 4 DSGVO. Stand: 15. Oktober 2026.
Änderungen und Widerspruchsrecht
Diese Liste ist abschließend. Vor dem Einsatz eines neuen Unterauftragsverarbeiters informieren wir den Verantwortlichen mindestens 30 Tage im Voraus in Textform. Innerhalb dieser Frist kann der Verantwortliche aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Wird widersprochen und lässt sich der Einsatz nicht vermeiden, steht dem Verantwortlichen ein Sonderkündigungsrecht für den betroffenen Leistungsteil zu.
| Dienstleister | Zweck | Verarbeitungsort | Datenkategorien | Grundlage |
|---|---|---|---|---|
| Supabase Inc. | Datenbank und Dateispeicher | Irland (AWS eu-west-1)Sitz: USA (Verarbeitung in der EU) | Alle Stamm- und Bewegungsdaten sowie hochgeladene Dateien | Art. 28 AVV; EU-Standardvertragsklauseln für Zugriffe des Konzerns |
| Vercel Inc. | Hosting und Ausführung der Anwendung; Reichweitenmessung nur mit Einwilligung | Frankfurt am Main (fra1)Sitz: USA (Verarbeitung in der EU) | Alle Anfragen an die Anwendung | Art. 28 AVV; EU-US Data Privacy Framework (zertifiziert) und EU-Standardvertragsklauseln |
| Upstash Inc. | Schutz vor Missbrauch (Rate Limiting) und kurzlebiger Zwischenspeicher | Frankfurt am Main (AWS eu-central-1)Sitz: USA (Verarbeitung in der EU) | IP-Adressen, Konto-Kennungen, kurzlebige Anwendungsdaten (z. B. einmalige PIN-Freigaben) | Art. 28 AVV; EU-Standardvertragsklauseln |
| Resend Inc. | Versand von Servicenachrichten per E-Mail | Irland (AWS eu-west-1)Sitz: USA (Verarbeitung in der EU) | Name, E-Mail-Adresse und Inhalt der Benachrichtigung | Art. 28 AVV; EU-US Data Privacy Framework (zertifiziert) und EU-Standardvertragsklauseln |
| Apple Inc. | Zustellung von Push-Mitteilungen an iPhones (Apple Push Notification service) | Infrastruktur von AppleSitz: USA | Titel und Text einer Mitteilung, Geräte-Token; Krankmeldungen werden nicht als solche bezeichnet | Apple Developer Program License Agreement (kein gesonderter AVV angeboten); EU-US Data Privacy Framework |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Rechnungsstellung | EU und USASitz: Irland (Konzern USA) | Rechnungs- und Zahlungsdaten des Kunden, keine Beschäftigtendaten | Art. 28 AVV; EU-US Data Privacy Framework und EU-Standardvertragsklauseln |
| Functional Software Inc. (Sentry) | Fehler- und Stabilitätsüberwachung | EU-Region (Frankfurt am Main)Sitz: USA (Verarbeitung in der EU) | Technische Fehlerdaten; Zugangsdaten, Cookies und IP-Adressen werden vor dem Versand entfernt | Art. 28 AVV; EU-Standardvertragsklauseln |
| Anthropic PBCNur bei aktivierter Stundenzettel-Erkennung | KI-Erkennung fotografierter Stundenzettel | USASitz: USA | Name, ggf. Personalnummer und Arbeitszeiten auf dem Beleg | Art. 28 AVV; EU-Standardvertragsklauseln; keine Nutzung zum Modelltraining |
| OpenAINur bei aktivierter Stundenzettel-Erkennung | Ausfallsicherung für die Stundenzettel-Erkennung | USASitz: USA | Name, ggf. Personalnummer und Arbeitszeiten auf dem Beleg | Art. 28 AVV; EU-Standardvertragsklauseln; keine Nutzung zum Modelltraining |
Optionale Verarbeitung abwählen
Die KI-gestützte Stundenzettel-Erkennung ist standardmäßig deaktiviert. Ohne ausdrückliche Freischaltung durch einen Administrator des Arbeitsbereichs werden keine Daten an Anthropic oder OpenAI übermittelt. Die Freischaltung kann jederzeit zurückgenommen werden; die übrigen Funktionen von Shiftfy sind davon nicht betroffen.
Weitere Empfänger ohne Auftragsverarbeitung
- Open-Meteo und OpenStreetMap Foundation (Nominatim, Vereinigtes Königreich)Umrechnung von Adressen der Einsatzorte in KoordinatenNur Adressen von Einsatzorten, keine Beschäftigtendaten; Vereinigtes Königreich: Angemessenheitsbeschluss
- Push-Dienste der Browser-HerstellerZustellung von Browser-MitteilungenInhalt Ende-zu-Ende verschlüsselt; der Dienst sieht nur technische Zustelldaten
- Vom Kunden gewählte Empfänger (Microsoft Outlook, Webhooks, Kalender-Abonnements)Exporte und IntegrationenNur wenn der Kunde oder Nutzer sie einrichtet
Änderungshistorie
- 16. Oktober 2026: Vertragsgrundlage für Apple richtiggestellt: Die Zustellung von Push-Mitteilungen erfolgt auf Grundlage der Apple Developer Program License Agreement; einen gesonderten Auftragsverarbeitungsvertrag bietet Apple nicht an. Angabe zu Mitteilungsinhalten präzisiert.
- 15. Oktober 2026: Apple (Zustellung von Push-Mitteilungen) ergänzt, die bereits genutzt, aber bisher nicht aufgeführt war. Orte und Transfergarantien nach Prüfung präzisiert. Weitere Empfänger ohne Auftragsverarbeitung aufgeführt. DATEV-Schnittstelle entfernt: DATEV-Daten werden nur noch als Datei exportiert, die der Kunde selbst weitergibt.
- 14. Oktober 2026: Erste vollständige Liste als eigene Seite.
Ergänzend gelten der Auftragsverarbeitungsvertrag und die Datenschutzerklärung.