Legal · Transparenz
Hosting & Subprozessoren
Stand: 2026-09-08
Diese Seite dokumentiert vollständig, wo deine Daten verarbeitet werden: sowohl auf der WhispaWave-Marketing-Website als auch in der App. Wir machen das transparent, weil DSB und Compliance-Prüfer diese Informationen brauchen, bevor sie WhispaWave freigeben können.
Architektur-Prinzip
WhispaWave ist strukturell EU-first gebaut: Der Diktat-Pfad (Spracherkennung, KI-Vermittlungsserver, Datenbank) läuft über EU-Datenstandorte. Einige Dienstleister gehören zu US-Unternehmensgruppen oder haben ihren Sitz in den USA — wir legen das je Dienst offen (Rechtsträger, Datenstandort, Status) in der Subprozessoren-Übersicht.
App-Stack
Welche Anbieter die App wofür nutzt — mit Datenstandort. Rechtsträger, Status und Rechtsgrundlage je Dienst stehen in der Subprozessoren-Übersicht.
| Anbieter | Zweck | Standort |
|---|---|---|
| Mistral AI | Spracherkennung & Text-Verbesserung | EU-Regional-Endpunkt (api.eu.mistral.ai); Inferenz in EWR-Rechenzentren (Frankreich, Schweden/Norwegen, EWR-Inferenz-Partner laut Anbieter-Kette) |
| Scaleway | Spracherkennung (Ausweichdienst, EU) | Paris, FR |
| IONOS | Text-Verbesserung (Ausweichdienst, EU) | Deutsche Rechenzentren (IONOS Cloud) |
| Hetzner Online | KI-Vermittlungsserver, Fehleranalyse (Opt-in) | Falkenstein / Nürnberg, DE (eigene Rechenzentren des Anbieters, keine Hyperscaler-Unterkette) |
| Supabase | Datenbank & Anmeldung | EU-Region Frankfurt am Main (eu-central-1) auf der Rechenzentrums-Infrastruktur von Amazon Web Services (Unterauftragsverarbeiter der zweiten Stufe; nur Infrastruktur — keine KI-Verarbeitung auf AWS) |
| BunnyWay (bunny.net) | App-Updates | EU-Auslieferungsknoten |
| Stripe | Zahlungsabwicklung | Dublin, IE (EU); US-Konzernkette des Anbieters für Zahlungsabwicklung |
Website-Stack
| Layer | Provider | Standort | Funktion |
|---|---|---|---|
| Hosting | Vercel Inc. (US-Rechtsträger) | Server-Funktionen Frankfurt (fra1); weltweite Edge-Auslieferung statischer Inhalte | Hosting für whispawave.de (inkl. Server-Verarbeitung der Formulare) |
| Resend (Plus Five Five, Inc. (Resend), US-Rechtsträger) | USA — Kontodaten, E-Mail-Metadaten und Protokolle werden laut Anbieter in den USA gespeichert; die Versand-Infrastruktur ist je Domain wählbar (u. a. Irland), steuert aber nur den Versandweg | Transaktions-E-Mails für Kontakt-/Lead-/Newsletter-Formulare | |
| Reichweitenmessung | Plausible Analytics (Plausible Insights OÜ, Estland) | Server in Deutschland (Falkenstein); Daten verlassen die EU nicht | Cookielose Besuchsstatistik ohne IP-Speicherung; Script und Messdaten laufen über whispawave.de |
Von Grund auf cookie-frei: kein Cookie-Banner
WhispaWave läuft komplett ohne Cookie-Banner. Das ist keine Marketing-Wendung, sondern Stack-Wahl: jeder Subprozessor in der Tabelle oben wurde so gewählt, dass keine Tracking-Cookies oder Werbe-Pixel notwendig sind.
- Bot-Schutz: serverseitig über ein verstecktes Honeypot-Feld und eine Frequenz-Begrenzung (Rate-Limit), ohne Drittanbieter-Challenge und ohne dafür gesetzte Cookies.
- Resend: Tracking-Pixel sind verfügbar, werden von uns aber bewusst nicht aktiviert.
- Vercel: keine eigenen Tracking-Cookies; nur technisch notwendige Server-Logs beim Hosting-Anbieter.
- Plausible: Reichweitenmessung ohne Cookies, ohne Browser-Speicher und ohne IP-Speicherung — deshalb ohne Einwilligungsabfrage (Details: Datenschutzerklärung Ziffer 22).
Sollte sich das später ändern (z.B. PostHog-EU für Funnel-Analyse, Stripe.js im Checkout), aktivieren wir einen Opt-In-Cookie-Banner mit klaren Kategorien: kein Dark-Pattern, kein „Akzeptieren-und-weitermachen"-Zwang.
Vercel: die Transparenz-Frage
Vercel ist eine US-Company (Delaware). Wir nutzen die EU-Region von Vercel als primären Pop. Konkret heißt das:
- Marketing-Website-Pages werden in der EU-Region gerendert
- Static-Assets liegen im EU-CDN von Vercel
- Edge-Functions (z. B. für Lead-Capture) laufen in der EU-Region
Aber: Vercel ist US-Mutter, also unterliegt die Company strukturell dem CLOUD Act. Das ist eine offene Schwachstelle, die wir transparent machen. Es wäre unehrlich, das zu verschweigen.
Was die Marketing-Website verarbeitet
Die Marketing-Website verarbeitet auf Vercel im Regelfall keine Konto- oder Diktat-Daten (Static-Page-Renders, technisch notwendige Server-Logs). Formular-Eingaben (Name, E-Mail, Nachricht) werden zum Versand an Resend übergeben. Diktat-Audio und Transkripte gehen nie auf Vercel. Sie laufen im App-Stack über EU-Datenstandorte.
Damit ist die Vercel-US-Mutter-Frage für den Kern-Use-Case (Diktieren) nicht relevant, sondern nur für den Besuch der Marketing-Website.
Migrationspfad bei Bedarf
Wenn ein DSB-Audit Vercel als Risikofaktor hervorhebt oder das EU-US Data Privacy Framework gerichtlich gekippt wird, haben wir einen vorbereiteten Migrationspfad:
- Cloudflare Pages (EU-Region): vergleichbarer Stack, ebenfalls US-Mutter aber andere Compliance-Architektur
- Hetzner Cloud + Static-Hosting (Falkenstein): deutscher Provider, EU-Mutter, BSI-zertifiziert. Langfristig-Ziel.
Migrations-Vorbereitung: Code ist Next.js, kein Vercel-spezifisches Lock-In. Migration in <1 Woche möglich.
Subprozessoren-Änderungen
Wenn wir einen Auftragsverarbeiter wechseln oder hinzufügen, informieren wir bestehende Kunden mindestens 30 Tage vor Wirksamkeit per E-Mail. Du hast in diesem Zeitraum ein Widerspruchsrecht (= du kannst dein Abo kündigen, wenn du dem neuen Subprozessor nicht zustimmst).
Änderungs-Historie:
- 08.09.2026: Resend-Datenstandort korrigiert — der E-Mail-Dienst speichert Kontodaten, E-Mail-Metadaten und Protokolle in den USA (EU-Standardvertragsklauseln, Data-Privacy-Framework- Zertifizierung des Anbieters); die frühere Angabe „EU-Datenregion (Verifikation läuft)" war falsch. Kein neuer Dienst. Außerdem Compliance-Status-Tabelle ergänzt (unten).
- 03.08.2026: Vercel Speed Insights entfernt — die Website misst keine Ladezeiten mehr (die aggregierte Ladezeit-Messung wurde eingestellt; siehe Ziffer 14 der Datenschutzerklärung).
- 03.08.2026: Upstash entfernt — die Frequenz-Begrenzung der Website-Formulare läuft jetzt über unsere eigene EU-Datenbank (Frankfurt); gespeichert werden nur pseudonymisierte Prüfwerte (Hash), keine Klartext-IP und keine Klartext-E-Mail-Adresse.
- 31.07.2026: Liste korrigiert und vervollständigt — Klarnamen statt anonymisierter Dienst-Bezeichnungen, Sitz- und Datenstandort-Angaben präzisiert (u. a. Supabase, Vercel), Upstash (Frequenz-Begrenzung der Website-Formulare) und Vercel Speed Insights (Ladezeit-Messung) offengelegt, IONOS und Scaleway als aktive EU-Ausweichdienste ausgewiesen.
- 08.07.2026: Liste vervollständigt: Mistral AI, Hetzner, BunnyWay sowie die EU-Ausweichdienste und Anmelde-Dienste ergänzt. Diese Dienste waren von Beginn an Bestandteil unserer Architektur — sie fehlten auf dieser Seite; das war ein Fehler dieser Seite, kein neuer Dienst.
- 13.05.2026: Initiale Veröffentlichung der Subprozessoren-Liste.
Drittstaaten-Transfer
Für Audio und Inhalte nehmen wir keinen Umweg über die USA: Der Diktat- und Gesprächspfad ist in Europa entwickelt und wird in Europa betrieben, mit DSGVO als Grundhaltung. Der einzige US-Dienst mit möglichem Zugriff auf Auftragsdaten ist unser E-Mail-Versand (Resend) — er sieht keine Diktate oder Gespräche, sondern nur Support-Antworten und Diagnose-Anhänge, die du selbst einem Ticket beifügst; abgesichert über EU-Standardvertragsklauseln und die Data-Privacy-Framework-Zertifizierung des Anbieters (Details je Dienst in der Subprozessoren-Übersicht).
Compliance-Status
Ohne Schönfärberei: was heute erfüllt ist — und was noch nicht. Dieselbe Tabelle steht auf der Sicherheits-Seite.
| Punkt | Status | Stand | Nachweis |
|---|---|---|---|
| DSGVO | Konform | Betroffenenrechte nach Art. 12–22. Audio und Inhalte bleiben in der EU: Diktat-Audio auf Macs mit Apple-Chip auf deinem Gerät, alles Weitere auf EU-Servern. Cookie-frei by Default. | Details in der Datenschutzerklärung |
| Keine Datenspeicherung beim KI-Dienst (Zero Data Retention) | Aktiv | Unser KI-Dienst speichert deine Ein- und Ausgaben nach der Verarbeitung nicht und trainiert nicht damit — schriftlich bestätigt, EU-Endpunkt. | Bestätigung vom 20.08.2026, Subprozessoren-Liste |
| § 203-Modus (Berufsgeheimnis) | Verfügbar | Für Kanzlei, Praxis und Steuerberatung: WhispaWave legt Diktate dann nirgends ab. Unternehmen legen den Modus zentral fest. | Einstellungen → Datenschutz; Datenschutzerklärung Ziffer 10 |
| AVV nach Art. 28 | Verfügbar | Auftragsverarbeitungsvertrag für Unternehmen, Kanzleien und Praxen. | Direkt auf der AVV-Seite — gilt automatisch; Gegenzeichnung auf Anfrage |
| ISO 27001 | Im Aufbau | Kein Zertifikat. Ein Informationssicherheits-Managementsystem nach ISO 27001 ist seit 09/2026 im Aufbau; die Zertifizierung ist geplant. | AVV § 10 und Anlage 1 |
| SOC 2 / HIPAA | Nicht zertifiziert | Nicht zertifiziert, kein laufendes Verfahren. Unsere technischen und organisatorischen Maßnahmen legen wir stattdessen offen. | AVV § 10 und TOM-Anlage |
| Externer Penetrationstest | Geplant | Noch nicht durchgeführt; ein externer Test ist geplant. Bis dahin: interne Sicherheits-Audits und laufendes Monitoring. | AVV § 10 |
Audit-Berichte und Zertifizierungen
Eigene Zertifikate (ISO 27001, SOC 2) haben wir derzeit nicht; ein Informationssicherheits-Managementsystem nach ISO 27001 ist seit 09/2026 im Aufbau, die Zertifizierung ist geplant. Einen externen Penetrationstest haben wir noch nicht durchführen lassen; er ist geplant. Unsere technischen und organisatorischen Maßnahmen legen wir stattdessen offen: auf dieser Seite, in der Datenschutzerklärung und in der TOM-Anlage der Auftragsverarbeitungs-Vereinbarung.
Vollständige strukturierte Subprozessoren-Liste mit Rechtsgrundlagen: Subprozessoren-Übersicht.
Updates dieser Seite
Wir aktualisieren diese Seite quartalsweise und bei jeder Subprozessor-Änderung. Änderungs-Historie ist oben einsehbar.
Bei Fragen zu Hosting oder Compliance: privacy@whispawave.de.