Auftragsverarbeiter (Subprocessors)
Diese Seite listet alle Drittanbieter, die im Auftrag von WhispaWave personenbezogene Daten gemäß Art. 28 DSGVO verarbeiten.
Aktive Auftragsverarbeiter (Stand 2026-07-08)
| Anbieter | Zweck | Datenkategorien | Sitz / Datenstandort | Vertragsstatus |
|---|---|---|---|---|
| Mistral AI (Frankreich) | KI-Verarbeitung: Spracherkennung (in den Cloud-Fällen), Text-Verbesserung, Übersetzung, Gesprächs-Transkription mit Sprechertrennung, Meeting-Notizen | Diktat- und Gesprächsinhalte zur Verarbeitung (einschließlich der Stimmen von Gesprächsteilnehmern im Gesprächsmodus) | Frankreich; Verarbeitung in EU-Rechenzentren | AVV-/Aufbewahrungs-Konditionen werden vor dem offiziellen Start anwaltlich final geprüft und hier dokumentiert |
| Supabase Inc. | Datenbank (Postgres) + Authentifizierung + Edge-Functions + Datei-Speicher | Alle in der App gespeicherten Nutzerdaten (Konto, Transkripte, Wörterbuch/Notizen, Empfehlungs-Daten, Audit-Trails, Settings, Abo-Status) | USA (Hauptsitz) + EU-Region Frankfurt (eu-central-1) — unsere Instanz läuft ausschließlich in der Frankfurt-Region | ✓ Supabase DPA + EU-Standardvertragsklauseln (SCCs) |
| Hetzner Online GmbH | Betrieb unseres eigenen KI-Vermittlungsservers (einziger Pfad zur KI-Verarbeitung), Auslieferung der Bild-Dateien in unseren E-Mails, Update-Speicher | Durchgeleitete Diktat-/Gesprächsinhalte (nur zur Verarbeitung, keine dauerhafte Speicherung auf dem Vermittlungsserver); IP-Adresse beim Laden von E-Mail-Bildern | Deutschland (Falkenstein/Nürnberg) | AV-Vertrag ist Bestandteil der Hetzner-Konditionen; Nachweis wird vor dem offiziellen Start hier dokumentiert |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (Pro-Abos, Team-Abos) und Empfehlungs-Coupons | Kundennummer, E-Mail, Rechnungsbetrag, Zahlungsmittel-Metadaten (keine vollständigen Kartennummern bei uns) | Irland (EU) | ✓ Stripe DPA |
| Resend Inc. | Transaktionale E-Mail-Zustellung (Account-Verifikation, System- und Empfehlungs-Programm-Benachrichtigungen; Einladungen versenden Teilnehmer seit Juli 2026 ausschließlich selbst) | Empfänger-E-Mail, Inhalt der E-Mail, Bounce-/Delivery-Status; bei Support-Antworten mit freiwillig beigefügten Diagnose-Anhängen können kurze Diktat-Ausschnitte enthalten sein | USA (Hauptsitz) + EU-Rechenzentrum (Frankfurt) | ✓ Resend DPA + EU-Standardvertragsklauseln (SCCs) |
| Vercel Inc. | Hosting unserer Website (whispawave.de) | Technisch notwendige Zugriffsdaten beim Website-Besuch (IP-Adresse, Zeitpunkt, abgerufene Seite) | USA (Hauptsitz); Edge-Auslieferung | DPA-/SCC-Status wird vor dem offiziellen Start anwaltlich geprüft und hier dokumentiert |
| BunnyWay d.o.o. (bunny.net) | Auslieferung von App-Updates (CDN) | IP-Adresse beim Update-Abruf | Slowenien (EU) | AV-Vertrag wird vor dem offiziellen Start dokumentiert |
Vorbereitete EU-Ausweichdienste: In unserer Software sind IONOS SE (Deutschland, Text-Verbesserung) und Scaleway SAS (Frankreich, Spracherkennung) als automatische EU-Ausweichdienste für den Fall vorbereitet, dass unser KI-Dienstleister vorübergehend nicht erreichbar ist (nicht für den Gesprächsmodus). Ob und ab wann diese Ausweichdienste auf dem Produktionsserver aktiviert sind, dokumentieren wir vor dem offiziellen Start an dieser Stelle; bei Aktivierung gilt der Änderungsprozess am Ende dieser Seite.
Anmelde-Dienste: Meldest du dich über Apple, Google oder Microsoft an, verarbeitet der jeweilige Anbieter deine Anmelde-Daten; das geschieht nur, wenn du diesen Anmeldeweg selbst wählst. Die datenschutzrechtliche Einordnung dieser Anbieter (eigenständig Verantwortliche oder Auftragsverarbeiter) wird derzeit anwaltlich geprüft.
Anbieter-Datenschutzerklärungen (extern)
- Mistral AI: https://mistral.ai/terms#privacy-policy
- Supabase: https://supabase.com/privacy
- Hetzner: https://www.hetzner.com/de/legal/privacy-policy/
- Stripe: https://stripe.com/de/privacy
- Resend: https://resend.com/legal/privacy-policy
- Vercel: https://vercel.com/legal/privacy-policy
- bunny.net: https://bunny.net/privacy/
Keine Tracking- oder Analytics-Dienste
Wir setzen keine folgenden Kategorien von Auftragsverarbeitern ein:
- Web-Analytics (Google Analytics, Plausible, Matomo etc.)
- Heatmap-/Session-Replay-Tools (Hotjar, FullStory etc.)
- A/B-Testing-Plattformen
- Werbe-Pixel oder Conversion-Tracking
- CDN mit Third-Party-Tracking (wir nutzen Vercel-Edge ohne Web-Analytics-Modul)
Diese Liste ist Teil unserer öffentlichen DSGVO-Differentiator-Strategie gegenüber US-Konkurrenten (z.B. Wispr Flow). Eine Änderung erfordert vorherige Information aller bestehenden Nutzer per Email mit Opt-out-Möglichkeit.
Änderungs-Historie
| Datum | Änderung |
|---|---|
| 2026-07-08 | Liste vervollständigt: Mistral AI, Hetzner, Vercel und bunny.net ergänzt sowie die vorbereiteten EU-Ausweichdienste (IONOS/Scaleway) und die Anmelde-Dienste transparent gemacht. Diese Dienste waren von Beginn an Bestandteil unserer Architektur und in der App-Dokumentation beschrieben — auf dieser Seite fehlten sie bislang; das war ein Fehler dieser Seite, kein neuer Dienst. Außerdem Hinweis ergänzt, dass Support-Diagnose-Anhänge kurze Diktat-Ausschnitte enthalten können (Resend-Zeile). |
| 2026-05-13 | Initiale Veröffentlichung der Subprocessor-Liste im Rahmen von Phase N.6.C. |