Sub-Processor-Liste
Stand: 29.06.2026 | Version: v1.3-2026-06-29
URL: https://kombizent.com/subprocessors
Über diese Liste
Diese Seite listet alle Unterauftragsverarbeiter („Sub-Processors"), die wir bei der Bereitstellung von Kombizent einsetzen. Mit jedem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Wir veröffentlichen diese Liste, um maximale Transparenz für unsere Customer zu schaffen. Customer haben gemäß Auftragsverarbeitungsvertrag das Recht, neuen Sub-Processors innerhalb von 14 Tagen nach Ankündigung zu widersprechen.
Letzte Änderung: 29.06.2026
Kerninfrastruktur (immer aktiv)
Vercel Inc.
| Sitz | 340 S Lemon Ave #4133, Walnut, CA 91789, USA |
| Zweck | Hosting, CDN, Edge-Functions |
| Datenkategorien | Server-Logs, technische Metadaten |
| Server-Standort | Global (Edge), primär EU für DACH-Nutzer |
| Drittlandtransfer | USA |
| Rechtsgrundlage Transfer | EU-U.S. Data Privacy Framework (Art. 45 DSGVO) + Standardvertragsklauseln (Art. 46 DSGVO) |
| DPA | vercel.com/legal/dpa |
| Datenschutz | vercel.com/legal/privacy-policy |
Supabase Inc.
| Sitz | 970 Toa Payoh North, Singapore 318992 (US-Tochter) |
| Zweck | Datenbank, Authentifizierung, File-Storage |
| Datenkategorien | Alle im Cockpit gespeicherten Daten |
| Server-Standort | EU (Frankfurt, AWS eu-central-1) |
| Drittlandtransfer | Keiner für Customer-Daten; nur für Support-Tätigkeiten möglich |
| Rechtsgrundlage Transfer | Standardvertragsklauseln (Art. 46 DSGVO) |
| DPA | supabase.com/legal/dpa |
| Datenschutz | supabase.com/privacy |
Amazon Web Services EMEA SARL
| Sitz | 38 Avenue John F. Kennedy, L-1855 Luxembourg |
| Zweck | Cloud-Infrastruktur für Supabase (Server, Storage, Netzwerk) |
| Datenkategorien | Verschlüsselte Datenbank-Inhalte und Storage |
| Server-Standort | EU (Frankfurt, eu-central-1) |
| Drittlandtransfer | Keiner |
| DPA | Über Supabase-AVV abgedeckt (Sub-Sub-Processor) |
Zahlungsabwicklung (immer aktiv)
Mollie B.V.
| Sitz | Keizersgracht 313, 1016 EE Amsterdam, Niederlande |
| Zweck | Zahlungsabwicklung der Abonnement-Gebühren |
| Datenkategorien | Zahlungsdaten, Rechnungsanschrift, Transaktions-Status |
| Server-Standort | EU |
| Drittlandtransfer | Keiner |
| DPA | mollie.com/de/privacy |
E-Mail-Kommunikation
Der Versand transaktionaler E-Mails (Anmelde-Bestätigung, Newsletter-Double-Opt-In, Passwort-Reset, Systembenachrichtigungen) erfolgt über die eigene Mail-Server-Infrastruktur der Digital Consulting EU LLC. Es ist kein externer E-Mail-Versanddienstleister als Sub-Auftragsverarbeiter eingebunden.
Customer können im Cockpit alternativ einen eigenen SMTP-Server hinterlegen („Bring Your Own SMTP"). In diesem Fall ist der jeweilige SMTP-Anbieter Sub-Auftragsverarbeiter des Customer, nicht von Kombizent.
KI-Features (nur bei aktiver Nutzung im Cockpit)
Anthropic, PBC
| Sitz | 548 Market St., PMB 90375, San Francisco, CA 94104, USA |
| Zweck | KI-gestützte Textverarbeitung (Anfragen-Klassifikation, Marketing-Texte, Smart-Suggestions) |
| Datenkategorien | Text-Prompts, die der Customer aktiv freigibt |
| Server-Standort | USA |
| Drittlandtransfer | USA |
| Rechtsgrundlage Transfer | Standardvertragsklauseln (Art. 46 DSGVO) im DPA |
| Trainings-Opt-Out | ✅ Vertraglich zugesichert — übertragene Daten werden nicht zum Modelltraining verwendet |
| DPA | Bestandteil der Anthropic Commercial Terms |
| Aktivierung | Optional pro KI-Feature im Cockpit |
Google LLC (Imagen API)
| Sitz | 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA |
| Zweck | KI-Bildgenerierung |
| Datenkategorien | Text-Prompts |
| Server-Standort | USA |
| Drittlandtransfer | USA |
| Rechtsgrundlage Transfer | EU-U.S. Data Privacy Framework (Art. 45 DSGVO) + Standardvertragsklauseln |
| DPA | cloud.google.com/terms/data-processing-addendum |
| Aktivierung | Optional pro KI-Feature im Cockpit |
Messaging (nur bei aktiver Nutzung)
Meta Platforms Ireland Limited (WhatsApp Business)
| Sitz | 4 Grand Canal Square, Dublin 2, Irland |
| Zweck | WhatsApp Business API-Integration |
| Datenkategorien | Telefonnummern, Nachrichten-Inhalte, Metadaten |
| Server-Standort | EU + USA (Meta Inc.) |
| Drittlandtransfer | USA möglich |
| Rechtsgrundlage Transfer | Standardvertragsklauseln |
| DPA | Über Meta Business Manager |
| Aktivierung | Optional, nach Konfiguration durch Customer |
Twilio Inc.
| Sitz | 375 Beale Street, San Francisco, CA 94105, USA |
| Zweck | Click-to-Call, Telefon-Integration |
| Datenkategorien | Telefonnummern, Anrufmetadaten |
| Server-Standort | Global |
| Drittlandtransfer | USA |
| Rechtsgrundlage Transfer | Standardvertragsklauseln |
| DPA | twilio.com/legal/data-protection-addendum |
| Aktivierung | Optional, nach Konfiguration durch Customer |
Buchhaltungs-Integrationen (nur bei aktiver Nutzung)
sevDesk GmbH
| Sitz | Hauptstraße 115, 77652 Offenburg, Deutschland |
| Zweck | Buchhaltungs-Synchronisation |
| Server-Standort | EU (Deutschland) |
| Drittlandtransfer | Keiner |
| Datenschutz | sevdesk.de/datenschutz |
Haufe-Lexware GmbH & Co. KG (Lexoffice)
| Sitz | Munzinger Str. 9, 79111 Freiburg, Deutschland |
| Zweck | Buchhaltungs-Synchronisation |
| Server-Standort | EU (Deutschland) |
| Drittlandtransfer | Keiner |
| Datenschutz | lexoffice.de/datenschutz |
DATEV eG
| Sitz | Paumgartnerstraße 6-14, 90329 Nürnberg, Deutschland |
| Zweck | DATEV-Buchhaltungs-Export |
| Server-Standort | EU (Deutschland) |
| Drittlandtransfer | Keiner |
| Datenschutz | datev.de/datenschutz |
Geocoding (interne Funktion)
OpenStreetMap Foundation (Nominatim)
| Sitz | St John's Innovation Centre, Cowley Road, Cambridge, UK |
| Zweck | Adressdaten-Geocoding (Adresse → Koordinaten) |
| Datenkategorien | Adressangaben, keine Personenbezugsdaten |
| Server-Standort | UK |
| Drittlandtransfer | UK |
| Rechtsgrundlage Transfer | Angemessenheitsbeschluss der EU-Kommission |
| Datenschutz | wiki.openstreetmap.org/wiki/Privacy_Policy |
Änderungs-Historie
| Datum | Änderung |
|---|---|
| 25.06.2026 | Initiale Version |
Kontakt
Bei Fragen zur Sub-Processor-Liste oder zur Datenverarbeitung:
E-Mail: datenschutz@kombizent.com
Widerspruchsrecht: Customer können der Hinzuziehung neuer Sub-Processors gemäß § 3.4 des Auftragsverarbeitungsvertrags widersprechen.
Abonnieren von Änderungen
Customer werden bei Änderungen der Sub-Processor-Liste automatisch per E-Mail informiert. Die Information erfolgt mindestens 30 Tage vor Hinzuziehung eines neuen Sub-Processors.
Zusätzlich kann diese Liste regelmäßig manuell überprüft werden.
Stand: 29.06.2026 · Version: v1.3