Rechtliches · Art. 28 DSGVO
Sub-Processor (Auftragsverarbeiter)
Wer sind Sub-Processor?
Propertis nutzt für den Betrieb der SaaS-Plattform externe Dienstleister, die im Sinne der DSGVO als Auftragsverarbeiter gelten. Die Spalte „DPA-Status“ der Tabelle unten nennt je Anbieter den aktuellen Stand der vertraglichen Grundlage.
Bei Wechsel oder Erweiterung der Sub-Processor werden registrierte B2B-Kunden (PROFESSIONAL-Plan) mindestens 30 Tage vorher per E-Mail informiert.
Aktuelle Sub-Processor
| Dienstleister | Zweck | Standort | Datentypen | DPA-Status | Übermittlung |
|---|---|---|---|---|---|
| Vercel Inc. ↗ | Hosting, Serverless Functions | USA (Ausführung in Frankfurt, fra1) | Alle App-Daten | Bestandteil der Nutzungsbedingungen (gilt mit Vertragsschluss) | Standardvertragsklauseln (laut DPA) |
| Vercel Inc. (Blob-Speicher) ↗ | Dateiuploads (Dokumente, Bilder) | USA (Washington, D.C. — iad1) | Hochgeladene Dateien | Bestandteil der Nutzungsbedingungen (gilt mit Vertragsschluss) | Standardvertragsklauseln (laut DPA) |
| Databricks, Inc. (Neon) ↗ | PostgreSQL-Datenbank | EU (Frankfurt, AWS eu-central-1) | Alle DB-Daten (verschlüsselt at-rest) | Vertragsgrundlage wird geprüft | Grundlage wird geprüft (Vertragstext nennt keine) |
| Stripe (Gesellschaft laut Stripe-Vertrag) ↗ | Zahlungsabwicklung (Karten, SEPA) | USA + Irland | Zahlungsdaten, E-Mail (keine Kartennummern gespeichert) | Bestandteil der Nutzungsbedingungen (gilt mit Vertragsschluss); für Betrugsprävention und gesetzliche Pflichten eigener Verantwortlicher | Data Privacy Framework; Standardvertragsklauseln |
| Plus Five Five, Inc. (Resend) ↗ | E-Mail-Versand (Transaktional) | USA | E-Mail-Adressen, Namen, Mail-Inhalte | Bestandteil der Nutzungsbedingungen (gilt mit Vertragsschluss) | Data Privacy Framework; hilfsweise Standardvertragsklauseln |
| Anthropic Ireland, Limited (Weiterübermittlung an Anthropic, PBC, USA) ↗ | KI-Analyse (Claude API) | Irland (Vertragspartner); Verarbeitung in den USA | Objekt-, Vertrags- und Kontaktdaten inkl. Klarnamen von Mietern, Eigentümern und Bewohnern (nicht anonymisiert), Nutzungs-Kontext | Bestandteil der Commercial Terms (gilt mit Vertragsschluss) | Standardvertragsklauseln (Modul 2/3) für die Weiterübermittlung in die USA |
| Functional Software, Inc. (Sentry) ↗ | Error-Tracking + Performance-Monitoring | USA (Anbieter); Datenregion wird geprüft | IP (anonymisiert), Error-Stack-Traces (PII-gestrippt), Session-Replays bei Fehlern (Text und Eingaben maskiert, Medien blockiert; im Browser nach Einwilligung) | Wirksam erst mit Annahme im Konto; Annahme noch nicht belegt | Data Privacy Framework; hilfsweise Standardvertragsklauseln |
| PostHog, Inc. ↗ | Produkt-Analytics (Opt-in via Cookie-Banner) | EU (Frankfurt) | Seitenaufrufe und Ereignisse mit IP-Adresse und Browser-/Geräteangaben (nach Einwilligung); bei eingeloggten Nutzern mit Nutzerkennung, E-Mail-Adresse, Profil und Rolle; Sitzungsaufzeichnung nur, falls im PostHog-Projekt aktiv (wird geprüft) | Wirksam erst mit Gegenzeichnung im Konto; Gegenzeichnung noch nicht belegt | Data Privacy Framework; hilfsweise Standardvertragsklauseln (Modul 2) |
| Upstash, Inc. ↗ | Schutz vor Missbrauch (Zähler für Anmelde- und Anfrageversuche), Zwischenspeicher der USt-IdNr.-Prüfung, technische Sperren gegen Doppelverarbeitung | USA (Anbieter); Datenregion wird geprüft | IP-Adressen, E-Mail-Adressen und Nutzerkennungen in kurzlebigen Zählern und Sperrschlüsseln (auch von Anfragenden ohne Konto); USt-IdNr. mit Prüfergebnis (ggf. Name und Anschrift des Unternehmens) | Bestandteil der Nutzungsbedingungen (gilt ab ihrer Wirksamkeit) | Data Privacy Framework; hilfsweise Standardvertragsklauseln |
Datenübermittlung in Drittländer
Die Grundlage einer Übermittlung in Länder außerhalb des EWR nennt die Spalte „Übermittlung“ je Anbieter so, wie sie in dessen Vertragstext steht: Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Nach dem Urteil Schrems II (EuGH C-311/18) treffen wir ergänzende Maßnahmen wie Verschlüsselung at-rest und in-transit, Zugriffsprotokollierung und regelmäßige Sicherheits-Audits.
Eine ausführliche Transfer Impact Assessment (TIA) für Anthropic ist auf Anfrage verfügbar.
Kontakt + Widerspruch
Bei Fragen zu Sub-Processor oder Wunsch zum Wechsel einzelner Dienste bitte E-Mail an datenschutz@propertis.app. Den Entwurf des Auftragsverarbeitungsvertrags für PROFESSIONAL-Kunden stellen wir auf Anfrage per E-Mail an datenschutz@propertis.app zur Verfügung; eine anwaltlich geprüfte Fassung folgt mit der Festlegung der Vertragspartei.