Legal · Transparenz
Hosting & Subprozessoren
Version: 2026-10-24
Diese Seite dokumentiert vollständig, wo deine Daten verarbeitet werden: sowohl auf der WhispaWave-Marketing-Website als auch in der App. Wir machen das transparent, weil DSB und Compliance-Prüfer diese Informationen brauchen, bevor sie WhispaWave freigeben können.
Architektur-Prinzip
WhispaWave ist strukturell EU-first gebaut: Der Diktat-Pfad (Spracherkennung, KI-Vermittlungsserver, Datenbank) läuft über EU-Datenstandorte. Einige Dienstleister gehören zu US-Unternehmensgruppen oder haben ihren Sitz in den USA — wir legen das je Dienst offen (Rechtsträger, Datenstandort, Status) in der Subprozessoren-Übersicht.
App-Stack
Welche Anbieter die App wofür nutzt — mit Datenstandort. Rechtsträger, Status und Rechtsgrundlage je Dienst stehen in der Subprozessoren-Übersicht.
| Anbieter | Zweck | Standort |
|---|---|---|
| Mistral AI | Spracherkennung & Text-Verbesserung | EU-Regional-Endpunkt (api.eu.mistral.ai); Inferenz in EWR-Rechenzentren (Frankreich, Schweden/Norwegen, EWR-Inferenz-Partner laut Anbieter-Kette) |
| Scaleway | Spracherkennung beim Diktat (erster Dienst für einige Sprachen, sonst Ausweichdienst) | Paris, FR |
| IONOS | Text-Verbesserung (Ausweichdienst, EU) | Deutsche Rechenzentren (IONOS Cloud) |
| Linkup | Websuche im Meetings-Chat (abschaltbar) | EU, USA, Kanada, asiatisch-pazifischer Raum — laut Anbieter kann jede Suchanfrage je nach Auslastung in jeder dieser Regionen verarbeitet werden |
| Hetzner Online | KI-Vermittlungsserver, Fehleranalyse (Opt-in) | Falkenstein / Nürnberg, DE (eigene Rechenzentren des Anbieters, keine Hyperscaler-Unterkette) |
| Supabase | Datenbank & Anmeldung | EU-Region Frankfurt am Main (eu-central-1) auf der Rechenzentrums-Infrastruktur von Amazon Web Services (Unterauftragsverarbeiter der zweiten Stufe; nur Infrastruktur — keine KI-Verarbeitung auf AWS) |
| BunnyWay (bunny.net) | App-Updates | EU-Auslieferungsknoten |
| Stripe | Zahlungsabwicklung | Dublin, IE (EU); US-Konzernkette des Anbieters für Zahlungsabwicklung |
Website-Stack
| Layer | Provider | Standort | Funktion |
|---|---|---|---|
| Hosting | Vercel Inc. (US-Rechtsträger) | Server-Funktionen Frankfurt (fra1); weltweite Edge-Auslieferung statischer Inhalte | Hosting für whispawave.de (inkl. Server-Verarbeitung der Formulare) |
| Resend (Plus Five Five, Inc. (Resend), US-Rechtsträger) | USA — Kontodaten, E-Mail-Metadaten und Protokolle werden laut Anbieter in den USA gespeichert; die Versand-Infrastruktur ist je Domain wählbar (u. a. Irland), steuert aber nur den Versandweg | Transaktions-E-Mails für Kontakt-/Lead-/Newsletter-Formulare | |
| Reichweitenmessung | Plausible Analytics (Plausible Insights OÜ, Estland) | Server in Deutschland (Falkenstein); Daten verlassen die EU nicht | Cookielose Besuchsstatistik ohne IP-Speicherung; Script und Messdaten laufen über whispawave.de |
Von Grund auf cookie-frei: kein Cookie-Banner
WhispaWave läuft komplett ohne Cookie-Banner. Das ist keine Marketing-Wendung, sondern Stack-Wahl: jeder Subprozessor in der Tabelle oben wurde so gewählt, dass keine Tracking-Cookies oder Werbe-Pixel notwendig sind.
- Bot-Schutz: serverseitig über ein verstecktes Honeypot-Feld und eine Frequenz-Begrenzung (Rate-Limit), ohne Drittanbieter-Challenge und ohne dafür gesetzte Cookies.
- Resend: Tracking-Pixel sind verfügbar, werden von uns aber bewusst nicht aktiviert.
- Vercel: keine eigenen Tracking-Cookies; nur technisch notwendige Server-Logs beim Hosting-Anbieter.
- Plausible: Reichweitenmessung ohne Cookies, ohne Browser-Speicher und ohne IP-Speicherung — deshalb ohne Einwilligungsabfrage (Details: Datenschutzerklärung Ziffer 22).
Sollte sich das später ändern (z.B. PostHog-EU für Funnel-Analyse, Stripe.js im Checkout), aktivieren wir einen Opt-In-Cookie-Banner mit klaren Kategorien: kein Dark-Pattern, kein „Akzeptieren-und-weitermachen"-Zwang.
Vercel: die Transparenz-Frage
Vercel ist eine US-Company (Delaware). Wir nutzen die EU-Region von Vercel als primären Pop. Konkret heißt das:
- Marketing-Website-Pages werden in der EU-Region gerendert
- Static-Assets liegen im EU-CDN von Vercel
- Edge-Functions (z. B. für Lead-Capture) laufen in der EU-Region
Aber: Vercel ist US-Mutter, also unterliegt die Company strukturell dem CLOUD Act. Das ist eine offene Schwachstelle, die wir transparent machen. Es wäre unehrlich, das zu verschweigen.
Was die Marketing-Website verarbeitet
Die Marketing-Website verarbeitet auf Vercel im Regelfall keine Konto- oder Diktat-Daten (Static-Page-Renders, technisch notwendige Server-Logs). Formular-Eingaben (Name, E-Mail, Nachricht) werden zum Versand an Resend übergeben. Diktat-Audio und Transkripte gehen nie auf Vercel. Sie laufen im App-Stack über EU-Datenstandorte.
Damit ist die Vercel-US-Mutter-Frage für den Kern-Use-Case (Diktieren) nicht relevant, sondern nur für den Besuch der Marketing-Website.
Migrationspfad bei Bedarf
Wenn ein DSB-Audit Vercel als Risikofaktor hervorhebt oder das EU-US Data Privacy Framework gerichtlich gekippt wird, haben wir einen vorbereiteten Migrationspfad:
- Cloudflare Pages (EU-Region): vergleichbarer Stack, ebenfalls US-Mutter aber andere Compliance-Architektur
- Hetzner Cloud + Static-Hosting (Falkenstein): deutscher Provider, EU-Mutter, BSI-zertifiziert. Langfristig-Ziel.
Migrations-Vorbereitung: Code ist Next.js, kein Vercel-spezifisches Lock-In. Migration in <1 Woche möglich.
Subprozessoren-Änderungen
Wenn wir einen Auftragsverarbeiter wechseln oder hinzufügen, informieren wir bestehende Kunden mindestens 30 Tage vor Wirksamkeit per E-Mail. Du hast in diesem Zeitraum ein Widerspruchsrecht (= du kannst dein Abo kündigen, wenn du dem neuen Subprozessor nicht zustimmst).
Änderungs-Historie:
- 24.10.2026: Linkup (Websuche im Meetings-Chat) eingeschaltet — bisher nur für den Fall der Aktivierung aufgeführt. Linkup erhält nur die Suchbegriffe, die der Assistent für eine Frage formuliert; die Auftragsverarbeitungs-Vereinbarung ist seit dem 24.10.2026 unterzeichnet. Linkup kann die Suchbegriffe auch außerhalb der EU verarbeiten; Zero Data Retention und eine Verarbeitung nur in der EU sind angefordert, liegen aber noch nicht vor. Die Websuche ist in den Einstellungen abschaltbar. Außerdem erkennt Scaleway (Paris) jetzt als erster Dienst Diktate in den Sprachen, die Mistral nicht erkennt; bisher sprang Scaleway nur bei einem Ausfall ein.
- 08.09.2026: Resend-Datenstandort korrigiert — der E-Mail-Dienst speichert Kontodaten, E-Mail-Metadaten und Protokolle in den USA (EU-Standardvertragsklauseln, Data-Privacy-Framework- Zertifizierung des Anbieters); die frühere Angabe „EU-Datenregion (Verifikation läuft)" war falsch. Kein neuer Dienst. Außerdem Compliance-Status-Tabelle ergänzt (unten).
- 03.08.2026: Vercel Speed Insights entfernt — die Website misst keine Ladezeiten mehr (die aggregierte Ladezeit-Messung wurde eingestellt; siehe Ziffer 14 der Datenschutzerklärung).
- 03.08.2026: Upstash entfernt — die Frequenz-Begrenzung der Website-Formulare läuft jetzt über unsere eigene EU-Datenbank (Frankfurt); gespeichert werden nur pseudonymisierte Prüfwerte (Hash), keine Klartext-IP und keine Klartext-E-Mail-Adresse.
- 31.07.2026: Liste korrigiert und vervollständigt — Klarnamen statt anonymisierter Dienst-Bezeichnungen, Sitz- und Datenstandort-Angaben präzisiert (u. a. Supabase, Vercel), Upstash (Frequenz-Begrenzung der Website-Formulare) und Vercel Speed Insights (Ladezeit-Messung) offengelegt, IONOS und Scaleway als aktive EU-Ausweichdienste ausgewiesen.
- 08.07.2026: Liste vervollständigt: Mistral AI, Hetzner, BunnyWay sowie die EU-Ausweichdienste und Anmelde-Dienste ergänzt. Diese Dienste waren von Beginn an Bestandteil unserer Architektur — sie fehlten auf dieser Seite; das war ein Fehler dieser Seite, kein neuer Dienst.
- 13.05.2026: Initiale Veröffentlichung der Subprozessoren-Liste.
Drittstaaten-Transfer
Für Audio und Inhalte nehmen wir keinen Umweg über die USA: Der Diktat- und Gesprächspfad ist in Europa entwickelt und wird in Europa betrieben, mit DSGVO als Grundhaltung. Der einzige US-Dienst mit möglichem Zugriff auf Auftragsdaten ist unser E-Mail-Versand (Resend) — er sieht keine Diktate oder Gespräche, sondern nur Support-Antworten und Diagnose-Anhänge, die du selbst einem Ticket beifügst; abgesichert über EU-Standardvertragsklauseln und die Data-Privacy-Framework-Zertifizierung des Anbieters (Details je Dienst in der Subprozessoren-Übersicht).
Compliance-Status
Ohne Schönfärberei: was heute erfüllt ist — und was noch nicht. Dieselbe Tabelle steht auf der Sicherheits-Seite.
| Punkt | Status | Stand | Nachweis |
|---|---|---|---|
| DSGVO | Konform | Betroffenenrechte nach Art. 12–22. Audio und Inhalte bleiben in der EU: Diktat-Audio auf Macs mit Apple-Chip auf deinem Gerät, alles Weitere auf EU-Servern. Cookie-frei by Default. | Details in der Datenschutzerklärung |
| Keine Datenspeicherung beim KI-Dienst (Zero Data Retention) | Aktiv | Unser KI-Dienst speichert deine Ein- und Ausgaben nach der Verarbeitung nicht und trainiert nicht damit — schriftlich bestätigt, EU-Endpunkt. | Bestätigung vom 20.08.2026, Subprozessoren-Liste |
| § 203-Modus (Berufsgeheimnis) | Verfügbar | Für Kanzlei, Praxis und Steuerberatung: WhispaWave legt Diktate dann nirgends ab. Unternehmen legen den Modus zentral fest. | Einstellungen → Datenschutz; Datenschutzerklärung Ziffer 10 |
| AVV nach Art. 28 | Verfügbar | Auftragsverarbeitungsvertrag für Unternehmen, Kanzleien und Praxen. | Direkt auf der AVV-Seite — gilt automatisch; Gegenzeichnung auf Anfrage |
| ISO 27001 | Im Aufbau | Kein Zertifikat. Ein Informationssicherheits-Managementsystem nach ISO 27001 ist seit 09/2026 im Aufbau; die Zertifizierung ist geplant. | AVV § 10 und Anlage 1 |
| SOC 2 / HIPAA | Nicht zertifiziert | Nicht zertifiziert, kein laufendes Verfahren. Unsere technischen und organisatorischen Maßnahmen legen wir stattdessen offen. | AVV § 10 und TOM-Anlage |
| Externer Penetrationstest | Geplant | Noch nicht durchgeführt; ein externer Test ist geplant. Bis dahin: interne Sicherheits-Audits und laufendes Monitoring. | AVV § 10 |
Audit-Berichte und Zertifizierungen
Eigene Zertifikate (ISO 27001, SOC 2) haben wir derzeit nicht; ein Informationssicherheits-Managementsystem nach ISO 27001 ist seit 09/2026 im Aufbau, die Zertifizierung ist geplant. Einen externen Penetrationstest haben wir noch nicht durchführen lassen; er ist geplant. Unsere technischen und organisatorischen Maßnahmen legen wir stattdessen offen: auf dieser Seite, in der Datenschutzerklärung und in der TOM-Anlage der Auftragsverarbeitungs-Vereinbarung.
Vollständige strukturierte Subprozessoren-Liste mit Rechtsgrundlagen: Subprozessoren-Übersicht.
Updates dieser Seite
Wir aktualisieren diese Seite quartalsweise und bei jeder Subprozessor-Änderung. Änderungs-Historie ist oben einsehbar.
Bei Fragen zu Hosting oder Compliance: privacy@whispawave.de.