Legal · DSGVO Art. 28
Subprozessoren
Stand: 2026-09-08
Liste aller Auftragsverarbeiter nach Art. 28 DSGVO, die WhispaWave einsetzt. Verbindliche Quelle für Datenschutzerklärung, Hosting-Transparenz und Anlage 2 der Auftragsverarbeitungs-Vereinbarung — alle drei Flächen werden aus derselben Datenbasis erzeugt. Kommt ein Dienst hinzu oder wird ersetzt, der Diktate, Gespräche oder Notizen verarbeiten kann, kündigen wir das bestehenden Kunden mindestens 30 Tage vor Wirksamkeit per E-Mail an; Dienste, die nur die Website betreffen, tragen wir hier mit Datum ein.
| Anbieter (Rechtsträger) | Zweck | Sitz / Datenstandort | Status | Rechtsgrundlage |
|---|---|---|---|---|
| Mistral AI Mistral AI SAS (R.C.S. Paris 952 418 325) | KI-Verarbeitung: Spracherkennung (Cloud-Fälle), Text-Verbesserung, Übersetzung, Gesprächs-Transkription, Meeting-Notizen, Meeting-Chat | Sitz: Frankreich (Paris) Daten: EU-Regional-Endpunkt (api.eu.mistral.ai); Inferenz in EWR-Rechenzentren (Frankreich, Schweden/Norwegen, EWR-Inferenz-Partner laut Anbieter-Kette) | Aktiv | AVV Art. 28 DSGVO + Zero Data Retention (bestätigt 2026-08-20), EU-Regional-Endpunkt |
| Supabase Supabase Inc. | Datenbank, Anmeldung, Server-Funktionen, Datei-Speicher; Zähler des Überlastungsschutzes der Website-Formulare (nur pseudonymisierte Prüfwerte) | Sitz: USA Daten: EU-Region Frankfurt am Main (eu-central-1) auf der Rechenzentrums-Infrastruktur von Amazon Web Services (Unterauftragsverarbeiter der zweiten Stufe; nur Infrastruktur — keine KI-Verarbeitung auf AWS) | Aktiv | AVV Art. 28 + EU-Standardvertragsklauseln, EU-Datenregion |
| Hetzner Online Hetzner Online GmbH | Eigener KI-Vermittlungsserver; eigenes, selbst betriebenes Fehlerbericht-System (Absturzberichte nur mit Einwilligung, inhaltsfreie Server-Fehlerereignisse); E-Mail-Bilder; App-Update-Ursprung | Sitz: Deutschland Daten: Falkenstein / Nürnberg, DE (eigene Rechenzentren des Anbieters, keine Hyperscaler-Unterkette) | Aktiv | AVV Art. 28 DSGVO, DE-Sitz |
| IONOS IONOS SE | EU-Ausweichdienst Text-Verbesserung (nur bei Ausfall des Primärdienstes) | Sitz: Deutschland Daten: Deutsche Rechenzentren (IONOS Cloud) | Aktiv (EU-Ausweichdienst) | AVV Art. 28 DSGVO, DE-Sitz |
| Scaleway Scaleway SAS | EU-Ausweichdienst Spracherkennung (nur bei Ausfall des Primärdienstes) | Sitz: Frankreich Daten: Paris, FR | Aktiv (EU-Ausweichdienst) | AVV Art. 28 DSGVO, EU-Sitz |
| Resend Plus Five Five, Inc. (Resend) | Transaktions-E-Mails, Support-Antworten, Website-Formulare (Kontakt, Bewerbung, Kündigungs-Bestätigung), Newsletter-Kontaktliste | Sitz: USA Daten: USA — Kontodaten, E-Mail-Metadaten und Protokolle werden laut Anbieter in den USA gespeichert; die Versand-Infrastruktur ist je Domain wählbar (u. a. Irland), steuert aber nur den Versandweg | Aktiv | AVV Art. 28 + EU-Standardvertragsklauseln; Anbieter nach EU-US Data Privacy Framework zertifiziert (Anbieterangabe); Verarbeitung in den USA |
| Stripe Stripe Payments Europe Ltd. | Zahlungsabwicklung (Abos, Empfehlungs-Coupons) | Sitz: Irland Daten: Dublin, IE (EU); US-Konzernkette des Anbieters für Zahlungsabwicklung | Aktiv | AVV Art. 28 DSGVO, EU-Sitz |
| Plausible Analytics Plausible Insights OÜ | Reichweitenmessung der Website (cookielos, ohne IP-Speicherung; nur zusammengefasste Statistiken) | Sitz: Estland (Tartu) Daten: Server in Deutschland (Falkenstein); Daten verlassen die EU nicht | Aktiv (nur Website) | AVV Art. 28 DSGVO, EU-Sitz |
| Vercel Vercel Inc. | Hosting der Website (inkl. Server-Verarbeitung der Formulare) | Sitz: USA (Delaware) Daten: Server-Funktionen Frankfurt (fra1); weltweite Edge-Auslieferung statischer Inhalte | Aktiv (nur Website) | AVV Art. 28 + EU-Standardvertragsklauseln |
| BunnyWay (bunny.net) BunnyWay d.o.o. | Auslieferung von App-Updates (CDN) | Sitz: Slowenien Daten: EU-Auslieferungsknoten | Aktiv | AVV Art. 28 DSGVO, EU-Sitz |
| Linkup Linkup Technologies SAS | Websuche im Meeting-Chat (nur bei aktivierter Websuche; derzeit nicht eingeschaltet) | Sitz: Frankreich (Fresnes) Daten: EU (Verarbeitung in einer festgelegten Region ist beim Anbieter als Vertragsoption vorgesehen) | Bei Aktivierung (derzeit nicht eingeschaltet) | AVV Art. 28 DSGVO, EU-Sitz |
- Mistral AI: Zero Data Retention ist für unser Konto aktiv (schriftliche Bestätigung des Anbieters vom 2026-08-20): Ein- und Ausgaben werden nach der Verarbeitung nicht gespeichert und nicht zum Training verwendet. Die Modelle laufen über den EU-Regional-Endpunkt; das Chat-/Notiz-Modell GLM 5.2 ist ein von Mistral auf eigener EU-Infrastruktur betriebenes Modell mit offenen Gewichten — der Hersteller der Gewichte erhält keine Daten.
- Resend: Resend speichert Kontodaten, E-Mail-Metadaten und Protokolle in den USA — unabhängig von der gewählten Versandregion. Wir schicken keine Diktate oder Gespräche per E-Mail; nur Diagnose-Anhänge, die du selbst einem Support-Ticket beifügst, können kurze Ausschnitte enthalten.
- Plausible Analytics: Cookielose Reichweitenmessung ohne IP-Speicherung; Script und Messdaten laufen über whispawave.de. Die Auftragsverarbeitungs-Vereinbarung ist Bestandteil der Plausible-Nutzungsbedingungen.
- BunnyWay (bunny.net): Es fließen ausschließlich IP-Adressen beim Abruf von App-Updates, keine App-Inhalte. Die Auftragsverarbeitungs-Vereinbarung von bunny.net ist Bestandteil des Kundenkontos.
- Linkup: Nur bei aktivierter Websuche des Meeting-Chats — die Funktion ist derzeit nicht eingeschaltet. Die Aktivierung setzt die Ablage der Auftragsverarbeitungs-Vereinbarung samt Zero-Data-Retention-Zusatz voraus und wird 30 Tage vorher angekündigt.
EU-Ausweichdienste. Ist unser primärer KI-Dienstleister vorübergehend nicht erreichbar, springen automatisch EU-Ausweichdienste ein: IONOS SE (Deutschland) für die Text-Verbesserung und Scaleway SAS (Frankreich) für die Spracherkennung — nicht für den Gesprächsmodus. Es gelten dieselben Regeln: Verarbeitung nur zur Ausführung deiner Anfrage, kein Training mit deinen Inhalten.
Anmelde-Dienste. Meldest du dich über Apple, Google oder Microsoft an, verarbeitet der jeweilige Anbieter deine Anmelde-Daten; das geschieht nur, wenn du diesen Anmeldeweg selbst wählst.
Drittstaaten-Transfer
Die Inhalte deiner Diktate und Gespräche werden in Rechenzentren in der EU verarbeitet und gespeichert; der Diktat-Pfad (Spracherkennung, KI-Vermittlungsserver, Datenbank) läuft über EU-Datenstandorte. Einige unserer Dienstleister gehören zu US-Unternehmensgruppen (z. B. Supabase Inc., Vercel Inc.) — wir binden sie über EU-Datenregionen und EU-Standardvertragsklauseln ein und legen das in der Tabelle oben je Dienst offen. Ein behördlicher Zugriff nach US-Recht lässt sich in diesen Fällen rechtlich nicht vollständig ausschließen; deshalb benennen wir ihn transparent, statt ihn wegzuerklären.
Änderungs-Verfahren
Wenn wir einen Auftragsverarbeiter wechseln oder hinzufügen, der deine Inhalte verarbeiten kann, informieren wir bestehende Kunden mindestens 30 Tage vor Wirksamkeit per E-Mail und tragen die Änderung hier mit Datum ein. Du hast in diesem Zeitraum ein Widerspruchsrecht (Einspruch an privacy@whispawave.de, Stellungnahme binnen 14 Kalendertagen). Ohne Widerspruch gelten die neuen Subprozessoren als akzeptiert. Muss ein Dienst aus zwingenden Sicherheits- oder Verfügbarkeitsgründen sofort ersetzt werden, informieren wir nachträglich, spätestens binnen 10 Tagen. Dienste, die nur die Website betreffen und keine App-Inhalte berühren, werden nur hier mit Datum dokumentiert.
Versions-Historie dieser Liste: via Git-Log im internen Repository. Bei Fragen: privacy@whispawave.de.