Anlage B – Subprocessor- und Änderungsprotokoll
Diese Anlage dokumentiert die aktuell eingesetzten Unterauftragsverarbeiter (Sub-Processors) sowie Änderungen an datenschutzrelevanten Systemen und Verträgen. Sie ergänzt die Vereinbarung gemäß Art. 28 DSGVO.
1. Aktuell eingesetzte Unterauftragsverarbeiter
| Anbieter | Region | Zweck | Vertragliche Grundlage | Letzte Prüfung |
|---|---|---|---|---|
| Vercel Inc. | Sitz USA; Funktionsregion je Projekt (alexanderdahm.de: fra1, Frankfurt) | Hosting, Build & Bereitstellung | DPA + SCC | 2025-01 |
| hosting.de GmbH | zu prüfen | VPS für die selbst gehostete Supabase-Instanz (u. a. Kontaktformular von alexanderdahm.de) | AVV: Status zu prüfen | – |
| Supabase Inc. | EU (Dublin) / USA | Datenbank, Authentifizierung, Storage für Projekte auf Supabase Cloud; nicht für das Kontaktformular von alexanderdahm.de | DPA + SCC | 2025-01 |
| Resend Inc. | USA | Transaktionaler E-Mail-Versand | DPA + SCC | 2025-01 |
| OpenAI LLC (optional) | USA | KI-Textgenerierung (Onboarding / Automatisierung) | DPA + SCC | 2025-01 |
Für Übermittlungen in Drittländer sind die in der Spalte „Vertragliche Grundlage“ genannten Vereinbarungen maßgeblich. Die selbst gehostete Supabase-Instanz wird vom Auftragsverarbeiter selbst betrieben; Supabase Inc. ist dafür kein Unterauftragsverarbeiter, Unterauftragsverarbeiter ist der VPS-Anbieter hosting.de. Änderungen oder neue Sub-Processor werden dem Verantwortlichen vorab mitgeteilt.
2. Änderungs- und Prüfprotokoll
Diese Übersicht dokumentiert die internen und externen Prüfungen der eingesetzten Unterauftragsverarbeiter gemäß Art. 28 DSGVO. Alle Einträge mit Status geprüft wurden zuletzt vollständig kontrolliert und entsprechen dem vereinbarten Schutzniveau.
| Datum | Bereich / Dienstleister | Änderung / Maßnahme | Ergebnis / Maßnahme | Nächste Prüfung | Status | Referenz |
|---|---|---|---|---|---|---|
| 2025-10-21 | Vercel Inc. | Überprüfung DPA / SCC | keine Änderungen erforderlich | 2026-04 | geprüft | DPA |
| 2025-10-21 | Supabase Inc. | Überprüfung DPA / SCC | keine Änderungen erforderlich | 2026-04 | geprüft | DPA |
| 2025-10-21 | Resend Inc. | Überprüfung DPA / SCC | keine Änderungen erforderlich | 2026-04 | geprüft | DPA |
| 2025-10-21 | OpenAI LLC (optional) | DPA Link aktualisiert (neue URL) | keine weiteren Maßnahmen erforderlich | 2026-04 | geprüft | DPA |
| 2026-10-15 | hosting.de GmbH | Neu aufgenommen: VPS für die selbst gehostete Supabase-Instanz (Kontaktformular alexanderdahm.de) | AVV und Datenstandort noch nicht geprüft | offen | offen | – |
| 2026-10-15 | Supabase Inc. | Kontaktformular von alexanderdahm.de von Supabase Cloud auf die selbst gehostete Instanz umgezogen | Supabase Cloud nur noch für andere Projekte | 2026-04 | dokumentiert | – |
| 2026-10-15 | Vercel Inc. | Funktionsregion von alexanderdahm.de festgestellt: iad1 (USA) | Region-Angabe korrigiert (bisher EU/Frankfurt) | – | dokumentiert | – |
| 2026-10-15 | Vercel Inc. | Funktionsregion von alexanderdahm.de von iad1 auf fra1 (Frankfurt) umgestellt, Production-Deployment dpl_EUapyKWZaKWLKMiNS5VVrDvYw86a | Region per Deployment-Manifest und Laufzeit-Header nachgewiesen; DPA / Drittlandgrundlage weiter offen | offen | dokumentiert | – |
Stand: 15. Oktober 2026. Nächste turnusmäßige Gesamtprüfung: April 2026 (überfällig, steht noch aus). Zwischenprüfungen erfolgen bei wesentlichen Anbieter- oder Vertragsänderungen.
3. Review- und Prüfintervall
| Prüfkategorie | Intervall | Dokumentation |
|---|---|---|
| Sub-Processor-Liste | halbjährlich | Kontrolle der DPA-Gültigkeit / SCC Links |
| TOM-Anlage A | halbjährlich | Sicherheits- und Backup-Check (intern) |
| Datenschutz-Review | jährlich | Prüfung durch Alexander Dahm oder beauftragten Partner |
Diese Anlage ist Bestandteil der Muster-AVV.
Änderungen werden versioniert und mit Commit-Nachweis im internen Docs-Verzeichnis dokumentiert.
Diese Anlage gehört zur Muster-AVV. Änderungen werden versioniert.
→ Zur Hauptvereinbarung