Transparenz nach Art. 28 DSGVO

Liste der Sub-Auftragsverarbeiter (Sub-Prozessoren)

Diese Seite listet alle Sub-Auftragsverarbeiter auf, die wir gem. Art. 28 Abs. 2 und Abs. 4 DSGVO einsetzen. Du wirst mindestens 30 Tage im Voraus per E-Mail ueber jede Aenderung informiert und hast in dieser Frist ein Widerspruchsrecht.

Version: 1.2.0Letzte Aktualisierung: 1. Juli 2026Rechtsgrundlage: Art. 28 Abs. 2 und Abs. 4 DSGVO

Hinweis fuer Verantwortliche

Der Verantwortliche hat das Recht, einem neuen Sub-Prozessor innerhalb der 30-taegigen Notice-Period schriftlich zu widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO).

Bei Widerspruch wird der Auftragsverarbeiter eine alternative Loesung anbieten oder dem Verantwortlichen ein ausserordentliches Kuendigungsrecht einraeumen.

Eingesetzte Sub-Prozessoren (7)

7 von 7 Sub-Prozessoren angezeigt

Supabase

kritisch
Funktion
Managed PostgreSQL-Datenbank, Authentifizierungs-Backend, Object Storage (Supabase Storage) fuer Media-Assets, Kursinhalte und Rechnungs-PDFs.
Sitz
EU - Frankfurt (eu-central-1, AWS)Drittland
Datenkategorien
  • Stammdaten Partner-Studios (Firmierung, Adresse, USt-ID)
  • Stammdaten Endkunden (Name, E-Mail, Telefon, Adresse, Geburtsdatum)
  • Gesundheitsbezogene Einwilligungen (healthConsentGiven, ConsentLog)
  • Buchungs- und Termindaten
  • + 5 weitere
Art. 9 DSGVO: Verarbeitet besondere Kategorien (Gesundheitsdaten)

Vercel

kritisch
Funktion
Hosting und Deployment der Next.js-Anwendung (Frontend Landing Page + Partner-Portal), Edge-Network, Serverless Functions, Build-Pipeline, Analytics.
Sitz
EU - Frankfurt (fra1) als Primary Edge-RegionDrittland
Datenkategorien
  • IP-Adressen der Besucher (Edge-Logs, 24h)
  • User-Agent und Referrer
  • Session-Tokens (NextAuth-Cookies)
  • Form-Submissions (Kontaktformular, Lead-Erfassung)
  • + 2 weitere
Art. 9 DSGVO: Verarbeitet besondere Kategorien (Gesundheitsdaten)

Resend

hoch
Funktion
Transaktionaler E-Mail-Versand: Buchungsbestaetigungen, Terminerinnerungen, Passwort-Reset, Lead-Benachrichtigungen an Partner-Studios.
Sitz
EU - Irland (Frankfurt-Fallback)Drittland
Datenkategorien
  • E-Mail-Adressen Endkunden
  • E-Mail-Adressen Partner-Studios
  • E-Mail-Inhalte (Buchungsdetails, Termindaten, Rechnungsnummern)
  • Versand-Logs (Status, Bounces, Opens) - 30 Tage Retention
  • + 1 weitere

Upstash

mittel
Funktion
Serverless Redis fuer Rate-Limiting der oeffentlichen API-Endpunkte (Buchungen, Lead-Erfassung, Login-Versuche) zur Abwehr von Brute-Force- und DDoS-Angriffen.
Sitz
EU - Frankfurt (eu-central-1)Drittland
Datenkategorien
  • Gehashte IP-Adressen (SHA-256, kurzlebig)
  • Rate-Limit-Counter (Anzahl Requests pro Zeitfenster)
  • Temporaere Session-Identifier
  • Keine personenbezogenen Klartextdaten

Hostinger

niedrig
Funktion
DNS-Verwaltung der Domain einfachgoodvibes.com, VPS-Infrastruktur fuer Hilfsdienste (Monitoring, Backup-Targets), Domain-Registrierung.
Sitz
EU - Litauen / Niederlande
Datenkategorien
  • DNS-Konfiguration (oeffentlich)
  • Domain-WHOIS-Daten (Privacy-Protection aktiv)
  • Server-Logs (technisch, IP-basiert)
  • Keine direkten Endkundendaten

GitHub

mittel
Funktion
Versionsverwaltung des Quellcodes (privates Repository AnimaContent/GoodVibesPortal), CI/CD-Trigger fuer Vercel-Deployments, Issue-Tracking.
Sitz
USA (Primary), EU-Replikate verfuegbarDrittland
Datenkategorien
  • Quellcode der Anwendung
  • Konfigurationsdateien (ohne Secrets - diese liegen in Vercel/.env)
  • Commit-Metadaten (Autor, Zeit, Nachricht)
  • Keine Endkundendaten
  • + 1 weitere

Amazon Web Services (AWS)

hoch
Funktion
Revisionssichere Langzeitarchivierung der finalisierten Rechnungs-PDFs gem. § 147 AO / GoBD. Speicherung in Amazon S3 mit Object-Lock (COMPLIANCE-Mode) und automatischer Lifecycle-Loeschung nach Ablauf der 8-Jahres-Frist.
Sitz
EU - Frankfurt (eu-central-1)
Datenkategorien
  • Rechnungs-PDFs (Endkundenname, ggf. Anschrift, Leistungsbeschreibung, Betrag, Rechnungsnummer)
  • Rechnungs-Metadaten (Rechnungsnummer, Ausstellungsdatum, Tenant-ID)
  • Hash-Werte (SHA-256 contentHash und pdfHash zur Manipulations-Erkennung)
  • Object-Lock-Retention-Metadaten (Retain-Until-Date, KMS-Key-Referenz)

Aenderungshistorie

  1. v1.0.0initialNotice versendet

    Erstveroeffentlichung der Sub-Prozessor-Liste mit 6 Anbietern (Supabase, Vercel, Resend, Upstash, Hostinger, GitHub).

    Autor:
    AnimaContent
    Kanal:
    Partner-Portal /portal/legal/sub-processors + E-Mail an alle 21 Studios
    Widerspruchsfrist bis:
    Widersprueche:
    Keine
    supabasevercelresendupstashhostingergithub
  2. v1.1.0addition

    Aufnahme von Amazon Web Services EMEA SARL (AWS) als Sub-Prozessor fuer die revisionssichere Langzeitarchivierung der Rechnungs-PDFs gem. § 147 AO / GoBD (S3 Object-Lock COMPLIANCE-Mode in eu-central-1 Frankfurt, SSE-KMS mit Customer-Managed-Key, 8 Jahre Retention).

    Autor:
    AnimaContent
    Kanal:
    Partner-Portal /portal/legal/sub-processors + E-Mail an alle aktiven Studios (30-Tage-Vorab-Notification gem. Art. 28 Abs. 2 DSGVO)
    Widersprueche:
    Keine
    aws
  3. v1.2.0correction

    Controller-Kontaktdaten korrigiert: Anschrift Kegelhofstraße 77 (20251 Hamburg) ergänzt, Kontakt/Website von einfachgoodvibes.com auf goodvibes-studios.de umgestellt (Live-Gegencheck 2026-07-01, Befunde F-003/F-005). Keine Änderung an Sub-Prozessoren — keine Notice-Pflicht ausgelöst.

    Autor:
    AnimaContent
    Widersprueche:
    Keine