Subprozessoren

Diese Anbieter setzt Figgle als Subprozessoren ein. Über beabsichtigte Änderungen informieren wir bestehende Kunden vorab mit einer Widerspruchsfrist von mindestens 30 Tagen.

A. Unterauftragsverarbeiter der Auftragsverarbeitung

Diese Anbieter verarbeiten im Auftrag von Figgle Daten, die Figgle wiederum im Auftrag seiner Kunden verarbeitet (AVV § 7). Alle drei verarbeiten in der EU.

• Hetzner Online GmbH

  Sitz:

  Gunzenhausen, DE

  Zweck:

  Hosting + DNS (Bare-Metal, Object Storage, Backups, DNS-Nameserver für figgle.de; RZ Falkenstein, DE; inkl. Eigen-Infra api.syndx.de + errors.figgle.de)

  Daten:

  Server-Logs, Datenbank-Daten, Visitor-Events, DNS-Anfrage-Metadaten

  Status:

  AVV vorhanden

• BunnyWay d.o.o. / bunny.net

  Sitz:

  Ljubljana, SI (EU)

  Zweck:

  EU-CDN — liefert das Figgle-Snippet-Skript (+ Lazy-Chunks) über cdn.figgle.de aus

  Daten:

  Besucher-IP transient am EU-Edge zur Skript-Auslieferung (kein Persist, kein Profiling); ausgelieferter Inhalt PII-frei (Snippet-JS). config.json und Events laufen nicht über das CDN, sondern direkt über Hetzner.

  Status:

  Aktiv. EU-Anbieter, Pull-Zone auf EU-PoPs beschränkt — kein Drittland-Transfer. DPA nach Standardbedingungen des Anbieters (Gegenzeichnung ausstehend).

• Mistral AI SAS

  Sitz:

  Paris, FR (EU)

  Zweck:

  KI-gestützter Website-Check (auch öffentlicher Scanner auf figgle.de) und Co-Pilot-Vorschläge

  Daten:

  öffentlich abrufbare Inhalte und Screenshots der geprüften Website sowie generierte Varianten-Texte; keine Daten der Website-Besucher

  Status:

  Aktiv (Prod-LLM-Vendor). EU-Anbieter, kein Drittland-Transfer. DPA nach Standardbedingungen des Anbieters (Gegenzeichnung ausstehend).

B. Weitere Empfänger (Figgle ist selbst verantwortlich)

Diese Anbieter verarbeiten keine Auftragsdaten der Kunden-Websites, sondern Daten, für die Figgle selbst verantwortlich ist (z. B. Kundenkonto, Abrechnung, E-Mail-Versand, Analyse der Figgle-Website und des Dashboards). Sie sind keine Unterauftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags; wir führen sie zur Transparenz auf.

• PostHog Inc.

  Sitz:

  San Francisco, US (Daten-Hosting EU, Frankfurt)

  Zweck:

  Produkt-Analytics der Website und des eingeloggten Kunden-Dashboards

  Daten:

  Website: pseudonyme Nutzungs-Events (Server-Hash-ID; browserseitige Erfassung erst nach „Statistik“-Einwilligung), Referrer/URL, Browser-/Geräteklasse; IP nur transient zur Standort-Ableitung, nicht in Events persistiert. Dashboard: pseudonyme Produkt-Nutzungs-Events, pseudonymisiert per Konto-Kennung (Nutzer-UUID) — ohne E-Mail als Personen-Merkmal (Identify erfolgt bewusst nur über die UUID); Einwilligung erforderlich, standardmäßig aus; Widerruf im Dashboard unter „Plan & Rechnungen“ → „Datenschutz“

  Status:

  Daten in der EU (Frankfurt); US-Anbieter mit EU-Datenresidenz → DPA nach Standardbedingungen des Anbieters (Gegenzeichnung ausstehend), SCC als Fallback. Website: browserseitige Erfassung erst nach „Statistik“-Einwilligung → Art. 6 (1)(a) i. V. m. § 25 Abs. 1 TDDDG (vor Consent kein Speicher-/Netzwerkzugriff); serverseitige Sicherheits-/Stabilitäts-Events Art. 6 (1)(f). Dashboard: läuft erst nach Einwilligung (Opt-in, standardmäßig aus), Art. 6 (1)(a) DSGVO + § 25 Abs. 1 TDDDG; die § 25-Einordnung ist Teil der laufenden anwaltlichen Prüfung.

• Sendinblue/Brevo SAS

  Sitz:

  Paris, FR

  Zweck:

  Newsletter (Double-Opt-In), Lead- und Transaktions-E-Mails — auch an Website-Besucher, die sich anmelden

  Daten:

  E-Mail-Adresse, Opt-in-Zeitpunkt/-Quelle und DOI-Nachweis, Listen-/Plan-Attribut; Versand der jeweiligen Mail-Inhalte

  Status:

  AVV vorhanden

• Stripe Payments Europe Ltd.

  Sitz:

  Dublin, IE

  Zweck:

  Zahlungsabwicklung der kostenpflichtigen Figgle-Tarife (Kunden-Abrechnung; kein Zugriff auf Besucher-/Auftragsdaten der Kunden-Websites)

  Daten:

  E-Mail-Adresse und interne Konto-Kennung des Kunden, gebuchter Tarif; Zahlungsdaten (z. B. Kartennummer) liegen ausschließlich bei Stripe; zurück kommen Zahlungs- und Abo-Status

  Status:

  Aktiv. Drittland-Bezug USA innerhalb des Stripe-Konzerns möglich → Standardvertragsklauseln (Art. 46 DSGVO).

• Meta Platforms Ireland Ltd.

  Sitz:

  Dublin, IE (Konzern USA)

  Zweck:

  Conversions API / Pixel — Conversion-Messung, nur nach Einwilligung

  Daten:

  gehashte Identifier (E-Mail/Telefon, SHA-256), IP, Conversion-Parameter

  Status:

  Wird erst mit Aktivierung des Marketing-Trackings wirksam — Verarbeitung ausschließlich nach Einwilligung. USA — EU-US Data Privacy Framework (Art. 45 DSGVO) + SCC subsidiär.

• Google Ireland Ltd.

  Sitz:

  Dublin, IE (Transfer an Google LLC, USA)

  Zweck:

  Tag Manager mit Werbe-Tags (Google Ads, Meta) — kein Google Analytics — sowie serverseitiger Google-Ads-Conversion-Import (Data Manager API). Der Container wird erst nach Einwilligung in „Marketing“ geladen.

  Daten:

  Online-Kennungen/Cookie-IDs, IP, Klick-/Conversion-Events; beim serverseitigen Import die Anzeigen-Klick-Kennung (gclid) sowie bei Buchungen der Conversion-Wert und die Währung — keine E-Mail und kein E-Mail-Hash an Google

  Status:

  Vor „Marketing“-Einwilligung wird kein Google-Request ausgelöst (Consent Mode „basic“), keine modellierte Conversion-Messung. USA — EU-US Data Privacy Framework (Art. 45 DSGVO) + SCC.

• Superblock LLC (Pushover)

  Sitz:

  USA

  Zweck:

  interne Betriebs-Benachrichtigungen (z. B. neuer Interessent, abgeschlossenes Abo, gestarteter Website-Check)

  Daten:

  maskierte E-Mail-Adresse, betroffene Domain, Plan-/Abrechnungs-Metadaten

  Status:

  USA — Standardvertragsklauseln (Art. 46 DSGVO); DPA-Status offen (Gegenzeichnung ausstehend).

• Komoot GmbH (photon.komoot.io)

  Sitz:

  Potsdam, DE

  Zweck:

  Orts-Suche (Autocomplete) bei der Standort-Eingabe im Dashboard — je nach Konfiguration eigene Infrastruktur oder dieser Dienst

  Daten:

  nur der vom Kunden getippte Orts-Suchtext

  Status:

  EU (Deutschland) — kein Drittland-Transfer.

GA4-Anbindung: Schaltet ein Kunde für seine Website die Übergabe an Google Analytics ein, schreibt das Figgle-Snippet nach der Einwilligung des Besuchers die Test- und Variantenzuordnung nur in die Datenschicht („dataLayer“) dieser Website. Figgle selbst übermittelt dabei nichts an Google. Google ist hierfür weder Unterauftragsverarbeiter von Figgle noch Empfänger von Figgle, sondern gegebenenfalls Empfänger des Kunden im Rahmen seines eigenen Google-Analytics-Einsatzes.

Transparenz: Anbieter ohne produktiven Visitor-Datenfluss

• GitHub, Inc. (US) — Source-Code-Hosting. Kein Visitor-/Kunden-Datenfluss — nur Commit-Metadaten.
• Healthchecks.io (CA) — Backup-Heartbeat-Pings. Nur Server-IP des Figgle-Hosts, keine personenbezogenen Auftrags-Daten.
• Cloudflare, Inc. (US) — Nicht im Einsatz und nicht vorab genehmigt. Weder DNS noch HTTP-Proxy noch Bot-Schutz sind aktiv. DNS-Auflösung und TLS für figgle.de laufen vollständig über Hetzner. Ein künftiger Einsatz würde nach dem Änderungsverfahren (30 Tage Vorab-Information) angekündigt.
• Open-Meteo (Open-Meteo.com, DE/Non-Profit) — Server-seitige Wetterabfrage für Figgle Moments — Empfänger ohne Personenbezug. Server-zu-Server, kein Besucher-Datenfluss — übermittelt werden nur grobe, auf die Region gerundete Koordinaten bzw. der Länder-Mittelpunkt, keine IP und keine personenbezogenen Besucher-Daten. Beim Empfänger entsteht kein Personenbezug.
• OpenHolidays API (openholidaysapi.org, EU) — Server-seitige Abfrage von Schulferien für Figgle Moments — Empfänger ohne Personenbezug. Server-zu-Server, kein Besucher-Datenfluss — übermittelt werden nur Land/Region und ein Datumsbereich, keine IP und keine personenbezogenen Besucher-Daten. Beim Empfänger entsteht kein Personenbezug.