Subprozessor-Register — Fassungen
Fassungen dieses Dokuments
Jede Änderung am Text erzeugt eine neue Fassung mit eigener Prüfsumme. Über diese Liste kannst du nachvollziehen, welcher Text wann galt.
Fassung | Stand | Was sich geändert hat | Prüfsumme (sha256) | Text |
|---|---|---|---|---|
4.3.1 (aktuell) | 26.09.2026 | Datumsangabe im Anhang vereinheitlicht. |
| Volltext |
4.3.0 | 25.09.2026 | Englische Fassung als vollständige Tabelle übersetzt; sie stimmt jetzt mit der deutschen überein (E-Mail-Versand über Clerk und SendGrid). |
| Volltext |
4.2.2 | 23.09.2026 | Keine Änderung am veröffentlichten Text. |
| auf Anfrage |
4.2.1 | 23.09.2026 | Keine Änderung am veröffentlichten Text. |
| auf Anfrage |
4.2.0 | 22.09.2026 | Englische Fassung korrigiert: Website-Medien werden über den SnapNext-Tenant in der EU ausgeliefert. Zwei offene Stellen geschlossen. |
| auf Anfrage |
3.1.0 | 16.09.2026 | Offene Angaben durch den tatsächlichen Stand ersetzt. |
| – |
3.0.0 | 16.09.2026 | Cloudinary entfernt. Supabase speichert jetzt auch Medien. Region für Google Vertex AI genannt. Der GPU-Anbieter steht nur noch als geplanter Eintrag ohne Verarbeitung im Register. |
| – |
2.0.0 | 10.08.2026 | Älteste archivierte Fassung. |
| – |
Volltexte früher Arbeitsfassungen mit internen Prüfvermerken geben wir auf Anfrage an max@ultido.com heraus; ihre Prüfsumme steht in der Liste.
Fassung 4.3.1 · Stand 26.09.2026
Prüfsumme: sha256-862adead980e3ecd167a83bc49635126c88af470204d7084c6aff7d8fa51b941
# | Anbieter | Zweck | Datenkategorie | Region / Verarbeitungsort | Transfermechanismus | Schicht |
|---|---|---|---|---|---|---|
1 | Vercel Inc. | Hosting / Serverless / Frontend-Auslieferung (inkl. aggregierter Web-Telemetrie „Vercel Analytics") | App-Daten, ggf. Lead bei Erhebung | EU-Region (fra1); US-Mutter | EU-US DPF (gelistet, Stand 16.09.2026) + SCC-Fallback | Plattform + [Lead] |
2 | Clerk Inc. | Authentifizierung / Identity und Versand sämtlicher Profil-Mails (DOI, Account-Anlage, Passwort-Reset, Reward) über den Unterauftragsverarbeiter SendGrid (#10) | E-Mail, Account-ID, Consent-Flags | USA (EU-Residency ist nicht verfügbar – kein Produktfeature, keine Zusage) | EU-US DPF (zertifiziert; Streitbeilegung JAMS) + SCC-Fallback im DPA; EU-Vertreter: VeraSafe Ireland Ltd.; TIA vorgehalten | Plattform |
3 | Supabase Inc. | Datenbank / Backend und Medienspeicher (Objekt-Storage) für Bild-Output | App-Daten, Consent-Log, Lead, stilisierte Bilder | EU (eu-central-1, Frankfurt); US-Mutter | DPA + SCC 2021/914 (kein eigener DPF-Eintrag – nicht auf DPF stützen) + EU-Region | Plattform + [Lead] |
4 | (entfallen – nur Plattform) | Cloudinary Ltd. – für die Plattform dekommissioniert, keine Verarbeitung mehr. Für die Website ultido.com läuft Cloudinary weiter, siehe #9c. Bild-Output läuft seit der Ablösung über Supabase Storage (#3). Eintrag bleibt zur Nachvollziehbarkeit stehen. | – | – | – | – |
5 | Google LLC – Cloud / Vertex AI | AI-Bild-Stilisierung (Inferenz), Modell imagen-3.0-capability-001 | Foto (transient, keine Speicherung) | us-central1 (USA) | EU-SCC über Google Cloud DPA („Zusatz zur Verarbeitung von Cloud-Daten", angenommen 22.07.2026) | Plattform (AI) – im Pilot nicht aktiv |
6 | GPU-Host (self-hosted Inferenz) – Planeintrag | Vorgesehener zweiter Inferenzpfad für einen Teil der Stilklassen. Derzeit existiert kein solches System; es findet über diesen Pfad keine Verarbeitung statt. Eintrag wird vor Inbetriebnahme mit Anbieter, Region und DPA gefüllt und löst dann die 30-Tage-Mitteilung aus. | – (derzeit keine) | (vor Inbetriebnahme zu füllen) | (vor Inbetriebnahme zu füllen) | Plattform (AI) – nicht in Betrieb |
7 | CCM19 (Papoo Software & Media GmbH) | Consent-Management (Cookies, § 25 TDDDG) | Consent-Status, technische Daten | Deutschland | AVV (EU) | Plattform |
9 | SnapNext GmbH + Co. KG | Betrieb/Weiterentwicklung Live-Plattform (Werkvertrag + AVV), Google-Workspace-Tenant (Ultido = eigene Organization/OU), Auslieferung der Medien von ultido.com über ihren Cloudinary-Tenant | je nach Tätigkeit App-/Betriebsdaten; DSAR-/Kontakt-Postfach | Deutschland (Pulheim) | AVV Ultido↔SnapNext mit Flow-down Art. 28(4) | Plattform + [Lead] |
9b | └ Google LLC (Workspace) | Mail/Docs/DSAR-Postfach (max@ultido.com im SnapNext-Tenant, eigene OU) – ggf. Gast-PII in Support-/DSAR-Mails | E-Mail-Korrespondenz | USA | EU-US DPF + SCC-Fallback | Plattform + [Lead] |
9c | └ Cloudinary (Tenant der SnapNext) | Auslieferung der Medien von ultido.com; Verbindungsdaten von Website-Besuchern. Betrifft nicht die Gast-App – deren Bild-Output liegt auf Supabase (#3) | IP, Verbindungsdaten | EU | über AVV Ultido↔SnapNext (unterzeichnet 22.09.2026) | Website |
10 | └ Twilio Inc. (SendGrid) | Technischer Versand aller Profil-Mails, die Clerk auslöst – Double-Opt-In, Account-Anlage, Passwort-Reset – sowie der Reward-Mails | E-Mail, Name | USA | EU-US DPF; Unterauftragsverarbeiter von Clerk (#2), über dessen DPA durchgereicht | [Lead] + Reward |
Annex – interne Tools ohne Gast-PII (transparenzhalber, keine Subprozessoren i.e.S.)
Tool | Zweck | Region | Anmerkung |
|---|---|---|---|
Slack | ausschließlich interne Kommunikation. Keine Produktanbindung, keine automatisierte Zustellung von Reports, keine Gast-PII (Stand 18.09.2026) | US (DPF) | Wird später eine Automatisierung in einen Slack-Kanal schreiben, ist dieser Eintrag neu zu bewerten |
Fassung 4.3.0 · Stand 25.09.2026
Prüfsumme: sha256-10d958154072a5ca5b5c9c415f8002ecb3d6f2e4685c95f0d297725a75cb5199
# | Anbieter | Zweck | Datenkategorie | Region / Verarbeitungsort | Transfermechanismus | Schicht |
|---|---|---|---|---|---|---|
1 | Vercel Inc. | Hosting / Serverless / Frontend-Auslieferung (inkl. aggregierter Web-Telemetrie „Vercel Analytics") | App-Daten, ggf. Lead bei Erhebung | EU-Region (fra1); US-Mutter | EU-US DPF (gelistet, Stand 16.09.2026) + SCC-Fallback | Plattform + [Lead] |
2 | Clerk Inc. | Authentifizierung / Identity und Versand sämtlicher Profil-Mails (DOI, Account-Anlage, Passwort-Reset, Reward) über den Unterauftragsverarbeiter SendGrid (#10) | E-Mail, Account-ID, Consent-Flags | USA (EU-Residency ist nicht verfügbar – kein Produktfeature, keine Zusage) | EU-US DPF (zertifiziert; Streitbeilegung JAMS) + SCC-Fallback im DPA; EU-Vertreter: VeraSafe Ireland Ltd.; TIA vorgehalten | Plattform |
3 | Supabase Inc. | Datenbank / Backend und Medienspeicher (Objekt-Storage) für Bild-Output | App-Daten, Consent-Log, Lead, stilisierte Bilder | EU (eu-central-1, Frankfurt); US-Mutter | DPA + SCC 2021/914 (kein eigener DPF-Eintrag – nicht auf DPF stützen) + EU-Region | Plattform + [Lead] |
4 | (entfallen – nur Plattform) | Cloudinary Ltd. – für die Plattform dekommissioniert, keine Verarbeitung mehr. Für die Website ultido.com läuft Cloudinary weiter, siehe #9c. Bild-Output läuft seit der Ablösung über Supabase Storage (#3). Eintrag bleibt zur Nachvollziehbarkeit stehen. | – | – | – | – |
5 | Google LLC – Cloud / Vertex AI | AI-Bild-Stilisierung (Inferenz), Modell imagen-3.0-capability-001 | Foto (transient, keine Speicherung) | us-central1 (USA) | EU-SCC über Google Cloud DPA („Zusatz zur Verarbeitung von Cloud-Daten", angenommen 22.07.2026) | Plattform (AI) – im Pilot nicht aktiv |
6 | GPU-Host (self-hosted Inferenz) – Planeintrag | Vorgesehener zweiter Inferenzpfad für einen Teil der Stilklassen. Derzeit existiert kein solches System; es findet über diesen Pfad keine Verarbeitung statt. Eintrag wird vor Inbetriebnahme mit Anbieter, Region und DPA gefüllt und löst dann die 30-Tage-Mitteilung aus. | – (derzeit keine) | (vor Inbetriebnahme zu füllen) | (vor Inbetriebnahme zu füllen) | Plattform (AI) – nicht in Betrieb |
7 | CCM19 (Papoo Software & Media GmbH) | Consent-Management (Cookies, § 25 TDDDG) | Consent-Status, technische Daten | Deutschland | AVV (EU) | Plattform |
9 | SnapNext GmbH + Co. KG | Betrieb/Weiterentwicklung Live-Plattform (Werkvertrag + AVV), Google-Workspace-Tenant (Ultido = eigene Organization/OU), Auslieferung der Medien von ultido.com über ihren Cloudinary-Tenant | je nach Tätigkeit App-/Betriebsdaten; DSAR-/Kontakt-Postfach | Deutschland (Pulheim) | AVV Ultido↔SnapNext mit Flow-down Art. 28(4) | Plattform + [Lead] |
9b | └ Google LLC (Workspace) | Mail/Docs/DSAR-Postfach (max@ultido.com im SnapNext-Tenant, eigene OU) – ggf. Gast-PII in Support-/DSAR-Mails | E-Mail-Korrespondenz | USA | EU-US DPF + SCC-Fallback | Plattform + [Lead] |
9c | └ Cloudinary (Tenant der SnapNext) | Auslieferung der Medien von ultido.com; Verbindungsdaten von Website-Besuchern. Betrifft nicht die Gast-App – deren Bild-Output liegt auf Supabase (#3) | IP, Verbindungsdaten | EU | über AVV Ultido↔SnapNext (unterzeichnet 22.09.2026) | Website |
10 | └ Twilio Inc. (SendGrid) | Technischer Versand aller Profil-Mails, die Clerk auslöst – Double-Opt-In, Account-Anlage, Passwort-Reset – sowie der Reward-Mails | E-Mail, Name | USA | EU-US DPF; Unterauftragsverarbeiter von Clerk (#2), über dessen DPA durchgereicht | [Lead] + Reward |
Annex – interne Tools ohne Gast-PII (transparenzhalber, keine Subprozessoren i.e.S.)
Tool | Zweck | Region | Anmerkung |
|---|---|---|---|
Slack | ausschließlich interne Kommunikation. Keine Produktanbindung, keine automatisierte Zustellung von Reports, keine Gast-PII (bestätigt 18.09.2026) | US (DPF) | Wird später eine Automatisierung in einen Slack-Kanal schreiben, ist dieser Eintrag neu zu bewerten |