Appearance
Unterauftragsverarbeiter
Entwurf – juristisch prüfen lassen
Diese Liste ist ein Entwurf und Anlage 3 zum AV-Vertrag. Einträge mit „zu bestätigen“ sind noch nicht vertraglich festgelegt. Vor der Veröffentlichung sind Vertragspartner, Sitz, Verarbeitungsort, Garantien (DPA, Standardvertragsklauseln, Data Privacy Framework) und Stand mit den tatsächlichen Verträgen abzugleichen und juristisch zu prüfen.
Stand: [TT.MM.JJJJ]
| Dienstleister | Zweck | Verarbeitete Daten | Ort der Verarbeitung | Garantien | Status |
|---|---|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland | Hosting (Server, Datenbank, Speicher für Exporte und Berichte, Backups) | alle Daten der Plattform: Umfragen, Antworten, Konten | Deutschland / Finnland (EU) | AV-Vertrag nach Art. 28 DSGVO | zu bestätigen (Rechenzentrumsstandorte) |
| BunnyWay d.o.o. (Bunny CDN), Slowenien | Auslieferung des Einbettungs-Skripts (embed.js) und statischer Dateien | IP-Adresse und User-Agent der Befragten beim Abruf des Skripts (keine Antworten) | EU (Edge-Standorte weltweit, Konfiguration prüfen) | AV-Vertrag | zu bestätigen (ob eingesetzt) |
| Functional Software, Inc. (Sentry), USA | Fehlerüberwachung von API und Dashboard | technische Fehlerdaten; IP-Adressen werden vor dem Senden anonymisiert, keine Antworten | EU-Region (Frankfurt) oder USA | AV-Vertrag, Standardvertragsklauseln / Data Privacy Framework | zu bestätigen (Region, nur wenn SENTRY_DSN gesetzt) |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich | Versand von System-E-Mails (Registrierung, Passwort, Einladungen, Exporte, Berichte, Alerts) | E-Mail-Adressen und Namen der Empfänger, Inhalt der E-Mails (bei Berichten zusammengefasste Zahlen), Zustellstatus, Öffnungs- und Klickereignisse (Zeitpunkt, IP-Adresse, User-Agent; bei Transaktions-E-Mails nicht abschaltbar) | EU (Rechenzentren und Unterauftragnehmer von Brevo prüfen) | AV-Vertrag (DPA von Brevo) nach Art. 28 DSGVO | im Einsatz; DPA, Rechenzentren und Tracking-Aufbewahrung zu bestätigen |
| Anthropic, PBC, USA | KI-Auswertung von Freitext-Antworten (Themen, Zusammenfassung, Stimmung) | pseudonymisierte Freitexte und Fragetitel – nur bei aktivierter KI-Funktion (Opt-in der Organisation); keine IDs, Metadaten, IP-Adressen | USA | Data Processing Addendum, Standardvertragsklauseln; keine Verwendung zum Training (prüfen) | nur mit Opt-in; zu bestätigen |
| Stripe Payments Europe, Ltd., Irland | Zahlungsabwicklung und Rechnungsstellung beim Kauf von Guthaben | Rechnungs- und Zahlungsdaten der Kunden: Name, Anschrift, E-Mail-Adresse, USt-IdNr., Zahlungsmittel (keine Antworten) | EU / USA | eigener Verantwortlicher bzw. AV-Vertrag, Standardvertragsklauseln | im Einsatz (Guthabenkauf); Rolle und Vertragsdetails zu bestätigen |
Nicht eingesetzt
- Keine Tracking- oder Werbedienste, keine Analyse-Cookies in Einbettungen. Einzige Ausnahme: Brevo erfasst beim E-Mail-Versand Öffnungen und Klicks (siehe oben); PollYou wertet diese Daten nicht aus.
- Die Geolokalisierung (Land der Befragten) erfolgt lokal mit einer MaxMind-GeoLite2-Datenbank; es werden keine Daten an MaxMind übertragen.
Änderungen
PollYou informiert Kunden über beabsichtigte Änderungen dieser Liste [mindestens 30 Tage] vorher per E-Mail an die Inhaber der Organisation; Kunden können der Änderung nach Maßgabe des AV-Vertrags widersprechen.