# Dienstleister und Unterauftragsverarbeiter

Fassung: **2026-10-24.v2**

Dieses Verzeichnis erläutert die von iDeployed eingesetzten Dienste und ihre jeweilige Funktion. Soweit es als Anlage C in die AVV einbezogen ist, gilt die Genehmigung nur für die bezeichneten Tätigkeiten und die dabei tatsächlich verarbeiteten Auftragsdaten. Die bloße Nennung eines Anbieters ersetzt weder erforderliche Verträge noch rechtmäßige Übermittlungsgarantien. Die eigenen Datenverarbeitungen der Anbieter richten sich zusätzlich nach deren Datenschutzhinweisen.

## 1. Hosting und Übermittlung von Anwendungsdaten

| Anbieter | Tätigkeit und Daten | Verarbeitung und Anbieterinformationen |
| --- | --- | --- |
| **Scaleway SAS**, 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich | Rechenleistung, Plattformdatenbank, persistenter Speicher, Registry und Objektstorage; je nach Auftrag Anwendungsinhalte, Datenbanken, Quellcode, Logs und technische Metadaten. | Unsere primäre Infrastruktur liegt in Frankreich, Region Paris. Support und weitere Unterauftragsverarbeitung richten sich nach dem einschlägigen Vertrag und der [Scaleway-Unterauftragsliste](https://www.scaleway.com/en/subprocessorlist/). [Verträge und Datenschutz](https://www.scaleway.com/en/contracts/). |
| **Cloudflare, Inc.**, 101 Townsend Street, San Francisco, CA 94107, USA | Proxy-, TLS- und Netzwerkschutz für über Cloudflare geleiteten Plattform- und Anwendungsverkehr. Dabei können HTTP-Inhalte, Domains, IP-Adressen und Verbindungsdaten verarbeitet werden. | Globale Verarbeitung einschließlich USA; keine Zusage ausschließlicher EU-Verarbeitung. Der [Cloudflare-AV-Vertrag](https://www.cloudflare.com/cloudflare-customer-dpa/) enthält EU-Standardvertragsklauseln für die dort bezeichneten Drittlandübermittlungen. [Datenschutzhinweise](https://www.cloudflare.com/privacypolicy/). Der Verkehrsweg eigener Domains kann abweichen. |

Selbst betriebenes Grafana, Loki und Prometheus laufen in unserer Scaleway-Umgebung. Sie sind hier keine zusätzlich beauftragten Grafana-Cloud-Dienste.

## 2. Kontakt, Kontoverwaltung und Betriebsdienste

Bei Verarbeitung unserer eigenen Kontaktdaten und Kontovorgänge handeln diese Dienste gegebenenfalls als Auftragsverarbeiter von iDeployed. Soweit für Support oder Fehlersuche tatsächlich Daten aus Ihrem Auftrag benötigt werden, ist der betreffende Dienst insoweit Unterauftragsverarbeiter. Es werden nicht allein deshalb sämtliche Inhalte Ihrer Anwendung an jeden dieser Dienste übermittelt.

| Dienst | Zweck und Daten | Orte und Datenschutzinformationen |
| --- | --- | --- |
| **Zoho Mail / Zoho-Gruppe** | Postfächer für Support, Datenschutz und Rechtsfragen; Absender, Empfänger, Nachrichten, Anhänge und Verbindungsdaten. Dies ist nicht der standardmäßige Mailversand Ihrer gehosteten Anwendung. | Wir nutzen mail.zoho.eu mit Speicherung in der EU. Zoho nennt mögliche Supportzugriffe durch Zoho Corporation Private Limited in Indien mit vertraglichen Transfergarantien. Die aktuelle [Vertragspartnerliste](https://www.zoho.com/legal/zoho-contracting-entities.html) nennt für Deutschland Zoho Corporation GmbH; für die EU-Infrastruktur ist auch Zoho Corporation B.V. relevant. [Datenschutz und Länderinformationen](https://www.zoho.com/privacy/privacy-faq.html), [AV-Vertragsinformationen](https://www.zoho.com/gdpr.html). Die EU-Postfachadresse schließt Drittlandzugriffe nicht aus. |
| **Resend / Plus Five Five, Inc.**, USA | Transaktions-E-Mails für Konto und Sicherheit; E-Mail-Adresse, Nachrichteninhalt und Zustellinformationen. | Datenspeicherung in den USA auch bei europäischer Versandregion. [AV-Vertrag mit Transferklauseln](https://resend.com/legal/dpa), [Speicherinformationen](https://resend.com/security/gdpr), [Unterauftragsverarbeiter](https://resend.com/legal/subprocessors). |
| **Cloudflare Turnstile / Cloudflare, Inc.** | Schutz der Registrierung und – soweit aktiviert – neuer Online-Widerrufsempfänge vor automatisiertem Missbrauch. Das Browsermodul kommuniziert direkt mit Cloudflare; dabei können insbesondere IP-Adresse, TLS-Fingerabdruck, User-Agent, Sitekey/Herkunft und weitere technische Browser-/Gerätesignale verarbeitet werden. Es erzeugt ein kurzlebiges, nur einmal validierbares Token. Unser Server sendet an Siteverify nur dieses Token, nicht zusätzlich die IP-Adresse als remoteip und keine Namen, Vertragskennungen, Empfangs-E-Mail-Adressen oder aus einem Konto gelesenen Angaben; das Ergebnis wird lokal auf Aktion und Hostname geprüft. Diese Prüfung sucht kein Konto und prüft weder Identität noch Rechtswirksamkeit. Token und Prüfergebnis werden nicht Teil der Erklärung, des Fingerabdrucks, des Empfangs oder der Browser-Wiederherstellung. | Cloudflare beschreibt Verarbeitung im Auftrag der Website und eigene Verantwortlichkeit für die Verbesserung der Bot-Erkennung. Die oben für Cloudflare beschriebenen weltweiten Verarbeitungs- und Transferhinweise gelten auch hier. [Turnstile-Datenschutzhinweise](https://www.cloudflare.com/turnstile-privacy-policy/). |
| **Slack / Salesforce-Gruppe** | Interne technische Ereignisse mit Zeit, Fehlercode, Ressourcen- und Supportreferenz sowie Dashboardlink. Das vorgesehene Ereignisformat enthält keine rohen Anwendungslogs oder Zugangsdaten. | Internationale Verarbeitung ist möglich; es wird keine ausschließliche EU-Speicherung zugesagt. [Datenschutzinformationen](https://slack.com/trust/privacy/privacy-policy) und [Vertragsinformationen](https://slack.com/terms-of-service) beschreiben die jeweils anwendbaren Gesellschaften und Datenschutzbedingungen. |
| **Better Stack** | Erreichbarkeitsüberwachung öffentlicher Plattform-Endpunkte und Betriebsbenachrichtigungen; URL, Status-/Antwortdaten und Betriebskontakte. Keine allgemeine Weiterleitung von Kunden-Anwendungslogs. | Der [AV-Vertrag](https://betterstack.com/dpa) ordnet den Vertragspartner dem Bestelldokument zu und sieht internationale Verarbeitung einschließlich USA sowie die dort beschriebenen Angemessenheits-/Standardvertragsklauselmechanismen vor. Eine öffentliche Anbietererklärung allein belegt keine bestimmte Kontoregion. |

## 3. Optionale Verbindungen und eigenständige Empfänger

**GitHub:** Bei einer Verbindung können autorisierte Repository-, Installations- und Commit-Metadaten, Quellcode, Webhooks und Build-Interaktionen verarbeitet werden. Der eigene Vertrag des Kunden und die konkrete Integration bestimmen die Rollen. GitHub erhält nicht automatisch die Inhalte jeder gehosteten Datenbank. [GitHub-Datenschutzerklärung](https://docs.github.com/en/site-policy/privacy-policies/github-general-privacy-statement).

**Container-Registries:** Docker Hub, GHCR und unterstützte private Registries erhalten bei beauftragten Abrufen Image-/Versionsangaben, technische Verbindungsdaten und gegebenenfalls notwendige autorisierte Zugangsdaten. Betreiber und Verarbeitung richten sich nach der ausgewählten Registry.

**Zertifikats- und Domain-Dienste:** TLS-Zertifizierungsstellen wie Google Trust Services für Cloudflare-Zertifikate und Let’s Encrypt bei entsprechender Origin-Konfiguration verarbeiten Ausstellungs- und Validierungsdaten. Zertifikats- und Domainangaben können öffentlich werden. Eine Zertifikatsausstellung übermittelt der Zertifizierungsstelle nicht allein deshalb die Anwendungsinhalte. [Google Trust Services](https://pki.goog/faq/), [Let’s Encrypt](https://letsencrypt.org/privacy/).

**Zahlungen:** Kostenpflichtiger Checkout und Live-Abrechnung sind deaktiviert. Stripe wird in dieser Fassung nicht als aktiver Zahlungsdienst für Kundenbestellungen beschrieben. Vor Einführung von Zahlungen werden Empfänger, Rollen und Übermittlungen ergänzt.

## 4. Änderungen und Nachweise

Änderungen der Unterauftragsverarbeiter werden nach der AVV mindestens 30 Tage im Voraus angekündigt. Einwände und deren Behandlung richten sich nach der AVV. Die jeweils in Ihren Abschluss einbezogene Fassung bleibt zuordenbar; eine neue Anbieter-Webseite ändert Ihre AVV nicht automatisch.

Fragen, Nachweisanfragen und Datenschutzanliegen: legal@ideployed.com. Technische Unterstützung: support@ideployed.com. Auf Anfrage erläutern wir die auf den konkreten Auftrag angewendeten Anbieter-, Länder- und Übermittlungsregelungen und stellen Informationen zu den einschlägigen Garantien bereit. Für Unterstützung sind nur die tatsächlich erforderlichen Daten zu übermitteln.

[AVV](04-avv.md) · [Datenschutzhinweise](02-datenschutzhinweise.md)