Die Aufnahmen (Bilder von Personen) werden bewusst ausschließlich in der EU gespeichert und nur über EU-Standorte ausgeliefert. Der Einsatz weiterer Unterauftragsverarbeiter wird den Geschäftskunden gemäß AVV (Ziffer 8.2) spätestens zwei Wochen vorher in schriftlicher oder elektronischer Form angezeigt; innerhalb von zwei Wochen nach der Mitteilung kann der Hinzuziehung widersprochen werden. Dienstleister ohne Zugriff auf Auftragsdaten der Geschäftskunden (z. B. die Quellcode-Verwaltung) sind keine Unterauftragsverarbeiter und daher nicht aufgeführt.
| Subprozessor | Zweck | Region | Garantie |
|---|---|---|---|
| Hetzner Online GmbH | Anwendungs-Hosting & PostgreSQL-Datenbank, Speicherung der Foto-/Video-Medien (Object Storage) sowie verschlüsselte Datenbank-Backups (Storage Box) | Deutschland / Finnland | EU (ISO 27001) |
| BunnyWay d.o.o. (bunny.net) | Auslieferung der Galerie-Medien, Medienvorschauen und Firmenlogos über ein CDN (nur signierte, zeitlich begrenzte Links, Zwischenspeicher zeitlich begrenzt) | Slowenien, Auslieferung nur über EU-Standorte | EU |
| Strato AG | E-Mail-Versand und -Empfang (Postfach, Rückfall für Galerie-Mails, Bounce-Erkennung) | Deutschland | EU |
| Scaleway SAS | Versand der Galerie-Mails und Erinnerungsmails an Gäste inkl. Zustellnachweis (Transactional Email) | Frankreich (Paris) | EU |
| Expo Inc. | Push-Relay (leitet Benachrichtigungen an APNs/FCM weiter) | USA | SCC; keine PII in der Nutzlast |
| Apple Inc. | Push-Zustellung für iOS-Geräte (APNs) | USA | DPF |
| Google Ireland Ltd. | Push-Zustellung für Android-Geräte (FCM) | Irland / USA | DPF / SCC |
Für etwaige Drittland-Übermittlungen (z. B. Push-Relays in den USA) gelten kumulativ der EU-US Data Privacy Framework-Beschluss sowie die EU-Standardvertragsklauseln. Push-Nutzlasten enthalten keine personenbezogenen Inhalte der Aufnahmen.