Verzeichnis der Verarbeitungstätigkeiten
Diese Übersicht listet alle externen Auftragsverarbeiter, mit denen wir personenbezogene oder pseudonymisierte Daten verarbeiten — als Erweiterung zur Datenschutzerklärung nach Art. 30 DSGVO.
Wo die Verarbeitung in einem Drittland stattfindet, sind Standardvertragsklauseln (SCC) der EU-Kommission abgeschlossen oder werden für jede neue Integration vor Inbetriebnahme abgeschlossen.
| Dienstleister | Kategorie | Zweck | Standort | Rechtsgrundlage | Datenkategorien | SCC | AV / DPA |
|---|---|---|---|---|---|---|---|
| Cloudflare, Inc. (Cloudflare Pages, KV, Workers, DNS) | Hosting / CDN / Edge-Funktionen | Ausspielen der statischen Website + Klick-Zähler (`/go/<slug>`) + Pages-Functions für Newsletter, Erfahrungsberichte, Kontaktanfragen und Anbieter-Selbstauskünfte. | EU + Drittland (USA) | Art. 6 Abs. 1 lit. f DSGVO | Verbindungsdaten (IP für Routing, gehashte Rate-Limit-Kennung mit täglichem Salt); aggregierte Klick-Zähler; Anbieter-Geschäfts-E-Mail, Kontakt-E-Mail, Anbieter-Selbstauskünfte mit URL/Textbeleg und Datum sowie die nicht veröffentlichte E-Mail-Adresse des einreichenden Anbieterkontos (`claimed_by`); Versandprotokoll mit Empfänger, Mail-Art, Zeitpunkt, Admin-Konto und Erfolg. Kontaktdaten und Protokolle werden in D1/KV gespeichert; `claimed_by` wird nicht veröffentlicht. | ja | DPA |
| GitHub, Inc. | Issue-Tracker (Review-Moderation) | Empfang von Patient-Erfahrungsberichten zur redaktionellen Prüfung als GitHub-Issue im Backoffice-Repo. | EU + Drittland (USA) | Art. 6 Abs. 1 lit. a + f DSGVO | Erfahrungsbericht-Text, Bewertung, Anbieter-Slug, optional Pseudonym. E-Mail-Adresse wird NIE im Issue gespeichert, sondern nur im Cloudflare-Logpush für interne Rückfragen. | ja | DPA |
| Amazon Web Services EMEA SARL (Amazon SES) | Newsletter- und Transaktionsmail-Versand | Double-Opt-In-Mails und Newsletter (news.cannarzt.com), Bestätigungen von Erfahrungsberichten, Erinnerungen an Anbieter und Preis-Hinweise (mail.cannarzt.com). | EU (Region eu-central-1, Frankfurt) | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); bei Anbieter-Mails Art. 6 Abs. 1 lit. f DSGVO | E-Mail-Adresse, Betreff und Mailinhalt. Die Abonnentenliste selbst liegt in Cloudflare D1, nicht bei AWS. AWS führt eine Sperrliste für unzustellbare Adressen und Spam-Beschwerden. Keine Tracking-Pixel in versendeten Mails. | ja | DPA |
| Resend, Inc. | System- und Kontomail-Versand, Ausfallreserve | Anmelde-Links und Zugangsdaten für Admins und Anbieter, Anbieter-Einladungen, Benachrichtigung des Redaktionsteams über Kontaktanfragen (notify.cannarzt.com) sowie Ersatzversand von Transaktionsmails, wenn Amazon SES ausfällt. | USA | Art. 6 Abs. 1 lit. b und f DSGVO; beim Ersatzversand wie der jeweilige Hauptzweck | E-Mail-Adresse, Betreff und Mailinhalt. Versandprotokolle verbleiben in D1. Keine Tracking-Pixel in versendeten Mails. | ja | DPA |
| Google LLC (Gemini API, optional, Build-Zeit) | KI-gestütztes SEO-Content-Rewriting | Optionaler Build-Schritt: Umformulierung redaktioneller Texte nach Tonalität pro Domain. Wird zur Laufzeit der Website NICHT aufgerufen — kein Nutzer-Traffic erreicht die API. | EU (`europe-west1`-Region) | Art. 6 Abs. 1 lit. f DSGVO | Ausschließlich öffentlich publizierter redaktioneller Text. Keine Patienten-, Nutzer- oder Anbieter-Stammdaten. | ja | DPA |
Drittland-Übermittlungen — Risikoabwägung
Cloudflare und GitHub übermitteln Daten teilweise in die USA. Wir bewerten das Risiko der Übermittlung als gering, weil:
- Cloudflare keine personenbezogenen Daten bei uns persistent speichert (statische Auslieferung + Edge-KV-Zähler ohne Personenbezug).
- GitHub nur Erfahrungsberichts-Inhalte nach freiwilliger Einsendung erhält; E-Mail-Adressen werden nicht in das Issue geschrieben.
- Beide Anbieter über Standardvertragsklauseln verfügen und an EU-zertifizierte Subprocessor-Listen gebunden sind.
Eine vollständige TIA (Transfer Impact Assessment) liegt intern vor und wird auf Anfrage an Aufsichtsbehörden ausgehändigt.
Änderungen an dieser Liste
Wir aktualisieren das Verzeichnis bei jeder Integration eines neuen Dienstleisters oder bei wesentlichen Änderungen am Verarbeitungsumfang. Die letzte Aktualisierung ist im Git-Verlauf dieser Datei nachvollziehbar.
Kontakt
Für Anfragen zum Verfahrensverzeichnis: dsgvo@cannarzt.com.