Anlage 2 · Unterauftragsverarbeiter

Fassung 2026-11-12 · gehört zur Vereinbarung zur Auftragsverarbeitung (Fassung 1.2) · Berkan Akdag, Graz · hello@stammkartl.at

Einen neuen oder anderen Unterauftragsverarbeiter kündigt Stammkartl mindestens 14 Tage vorher per E-Mail an; der Betrieb kann binnen 14 Tagen widersprechen (AVV § 5). Jede Fassung dieser Anlage trägt ein eigenes Datum; frühere Fassungen bleiben abrufbar unter stammkartl.at/subprocessors.

Unterauftragsverarbeiter

Dienst	Aufgabe	Daten	Ort	Drittland und Absicherung	Vertrag nach Art 28 DSGVO
Supabase Pte. Ltd., Singapur	Datenbank, Anmeldung der Betriebskonten, Dateispeicher	alle Daten aus dem Auftrag (AVV § 1)	EU: Irland (Projektregion eu-west-1); Zugriff des Anbieters aus Singapur möglich	Singapur: Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)	Data Processing Addendum, gilt über die Nutzungsbedingungen von Supabase
Vercel Inc., USA	Hosting, Programmlogik, Zeitplan der Automationen, KI-Gateway	während einer Anfrage die Daten dieser Anfrage; Zugriffsprotokolle mit IP-Adresse, die nach einem Tag verfallen	Programmlogik in Frankfurt (fra1); Eingangsserver weltweit	USA: EU-US Data Privacy Framework und Standardvertragsklauseln (2021/914)	Data Processing Addendum, gilt mit dem Tarif Pro

Beide verpflichten sich in ihren Verträgen auf die Pflichten eines Auftragsverarbeiters nach Art 28 DSGVO, einschließlich eigener Unterauftragsverarbeiter.

Die Programmlogik bei Vercel fragt die Datenbank bei jeder Anfrage neu ab und legt die Antworten nicht im Zwischenspeicher der Plattform ab.

Keine Unterauftragsverarbeiter, aber gut zu wissen

Stelle	Warum kein Unterauftragsverarbeiter	Was dorthin geht
Apple (Wallet)	entscheidet selbst über Wallet auf dem Gerät	nur das Push-Token des Geräts und ein Signal ohne Inhalt
Google (Google Wallet)	selbst Verantwortlicher	Vorname, Stempel- und Prämienstand, Kartenkennung, Angaben des Betriebs, Nachrichten an die Karte
Anthropic (Modell hinter dem Vercel AI Gateway)	bekommt keine Daten aus dem Auftrag	nur der Text, den der Betrieb für einen Vorschlag tippt, ohne Speicherung (Zero Data Retention)
OpenStreetMap (Nominatim)	bekommt keine Daten aus dem Auftrag	die Adresssuche im Chef-Bereich, direkt aus dem Browser des Betriebs
Open-Meteo	bekommt keine personenbezogenen Daten	die gerundeten Koordinaten des Betriebs für den Wettervorschlag

Über Apple und Google informiert der Betrieb seine Gäste selbst; den Textbaustein dafür enthält die Vereinbarung zur Auftragsverarbeitung (Anlage 3).