DUBHCORE — Liste der Unterauftragsverarbeiter
Version 1.0 — Datum: 30. August 2026 — Endfassung Aufgeführt sind nur die tatsächlich eingesetzten Anbieter (anhand von Code/Konfiguration geprüft). Im Projekt vorhandene, aber nicht aktiv genutzte Abhängigkeiten sind NICHT enthalten. AVV/Vereinbarungen: Soweit der AVV des Anbieters in die Bedingungen einbezogen oder durch gültige elektronische Annahme perfektioniert ist, ist keine gesonderte handschriftliche Unterschrift erforderlich; der Nachweis ist die Online-Annahme (es wird nicht der Besitz „unterzeichneter" Kopien erklärt). Die Dauer der Infrastruktur-Logs von Emergent wurde vom Anbieter nicht mitgeteilt oder bestätigt (von Emergent im Rahmen der eigenen Infrastruktur verwaltet; keine nicht verifizierte numerische Frist angegeben) und stellt derzeit keinen Startblocker dar.
| Anbieter | Dienst / Zweck | Datenkategorien | Verarbeitungsort | Internationale Übermittlung | Mechanismus/Garantie | Hinweise |
|---|---|---|---|---|---|---|
| Stripe | A) Abonnements/Billing DUBHCORE; B) Stripe Connect für Anzahlungen der Studios; Webhook-Ereignisse | Zahlungs-/Rechnungsdaten, Transaktionskennungen | EU/USA (PARTIAL — nicht verifiziert) | Ja | AVV/DPP Stripe + SCC perfektioniert per Online-Annahme der Bedingungen | Stripe kann als eigenständiger Verantwortlicher handeln für bestimmte Verarbeitungen (Zahlungen, Compliance, Betrugsprävention, eigene Pflichten) gemäß der anwendbaren Stripe-Dokumentation; kein einfacher Unterauftragsverarbeiter |
| Nur OAuth + Google Calendar (nur lesender Import) | Kontokennungen (E-Mail/Profil), importierte Kalenderereignisse | EU/USA (PARTIAL — nicht verifiziert) | Ja | Data Processing Terms Google + SCC per Online-Annahme | OAuth-Token verschlüsselt gespeichert (Fernet). Ausgeschlossen: Analytics, Werbung, Google Fonts, KI-Dienste und andere nicht genutzte Google-Dienste | |
| Emergent | Hosting-/Backend-Infrastruktur (K8s), privater Object Storage verwaltet, Versand transaktionaler E-Mails (verwaltetes Resend/SES), Hub | Alle gehosteten Kategorien (Konto, Anfragen, Bilder, Dokumente usw.); E-Mail-Adressen der Empfänger | Vereinigte Staaten (VERIFIED) | Ja (USA) | AVV Emergent + SCC EU 2021/914 | Deployment-Plattform; Infrastruktur-Unterlieferantenkette unten |
Expo / EAS (technischer Hinweis — KEIN Laufzeit-Unterauftragsverarbeiter): wird ausschließlich als Build-/Distributionswerkzeug der Mobil-App verwendet. Laut technischem Audit verarbeitet es die personenbezogenen Daten der Endnutzer von DUBHCORE im normalen Gebrauch der App nicht; daher ist es nicht in der öffentlichen Liste der Unterauftragsverarbeiter enthalten und wird nicht als Laufzeit-Unterauftragsverarbeiter der Kundendaten dargestellt.
Apple Calendar: Der Zugriff erfolgt auf dem Gerät des Nutzers (expo-calendar); er begründet keinen serverseitigen Unterauftragsverarbeiter von DUBHCORE (keine Daten des Apple-Kalenders werden an die Server gesendet).
Gesundheitsdaten (Art. 9) bei den Unterauftragsverarbeitern: Die Gesundheitsdaten (Tattoo/Piercing) werden auf der Infrastruktur von Emergent (bereits aufgeführt) zusammen mit den anderen Kategorien gehostet; der Zugriff ist serverseitig auf die allein autorisierten Rollen beschränkt (Least Privilege). Die Bestätigung von Emergent über die Zulässigkeit der Verarbeitung dieser Daten für die Anwendung stellt nicht die Rechtmäßigkeitsbedingung gemäß Art. 9 dar, die weiterhin ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a) bleibt, vom Studio als Verantwortlichem bestimmt. Kein anderer Unterauftragsverarbeiter erhält spezifisch die Gesundheitsdaten.
Analytics/Werbung/Tracking: abwesend sowohl in der App als auch auf der Website Hub (dubhcore.com) — geprüftes Audit (kein Analytics-Unterauftragsverarbeiter).
DUBHCORE Hub (dubhcore.com): Das Kontaktformular /contact (Name, Studio, E-Mail, Land, Nachricht) sendet die Daten an das Backend des Hub, gespeichert in der MongoDB-Collection contact_requests des Hub-Projekts (gehostet auf der Infrastruktur von Emergent, bereits aufgeführt). Kein externer E-Mail-/Newsletter-Anbieter erhält diese Daten. Zahlungen erfolgen über externe Payment Links von Stripe (buy.stripe.com), bereits durch den Eintrag Stripe abgedeckt.
Google Fonts und Unsplash: sind keine aktiven externen Dienste mehr — Schriftarten und das Bild „Origin" des Hub werden nun lokal gehostet. Daher erscheinen sie nicht unter den externen Anbietern/Empfängern.
Geprüfte Infrastruktur (Emergent Labs Inc.): DUBHCORE nutzt die von Emergent Labs Inc. verwaltete Infrastruktur. Infrastruktur-Unterlieferanten mit geprüfter/angemessen dokumentierter Rolle im Datenfluss von DUBHCORE:
| Anbieter | Dienst / Zweck | Ort | Internationale Übermittlung | Garantie |
|---|---|---|---|---|
| Emergent Labs Inc. | Verwaltete Plattform/Infrastruktur (Deployment, Orchestrierung) | Vereinigte Staaten | Ja (USA) | AVV + SCC (Beschl. EU 2021/914) |
| MongoDB Atlas | Verwaltete Datenbank der Anwendung | Vereinigte Staaten | Ja (USA) | via AVV Emergent + SCC |
| Amazon Web Services (AWS) | Cloud-Hosting / Object Storage / E-Mail, soweit anwendbar | Vereinigte Staaten | Ja (USA) | via AVV Emergent + SCC |
| Cloudflare | Edge/CDN/Anwendungsbereitstellung | Edge/global verteilt (PARTIAL — Region nicht verifiziert) | Ja | via AVV Emergent + SCC |
Produktions-Backups: automatisch rotierend, gespeichert in den Vereinigten Staaten (Details im Data Retention Schedule). AVV-Rollen: Kunde = Verantwortlicher, Emergent = Auftragsverarbeiter; ist der Kunde seinerseits Auftragsverarbeiter, ist Emergent = Unterauftragsverarbeiter.
Es sind nicht alle auf der allgemeinen Unterauftragsverarbeiter-Seite von Emergent aufgeführten Anbieter genannt, sondern nur diejenigen mit geprüfter Rolle im Datenfluss von DUBHCORE. Kein KI/LLM-Dienst (Gemini/Vertex/Bedrock usw.) verarbeitet Nutzerdaten von DUBHCORE (das technische Audit hat keine KI-Laufzeitverarbeitungen festgestellt).
Schlussbemerkung: Die AVV/Vereinbarungen mit den Anbietern werden per gültiger elektronischer Annahme perfektioniert (keine gesonderte handschriftliche Unterschrift erforderlich; der Nachweis ist die Online-Annahme). Die Aufbewahrungsdauer der Infrastruktur-Logs von Emergent (IP-Adresse, ungefährer Standort, Browser, Sitzungs-/Gerätekennungen, Telemetrie) wurde vom Anbieter nicht mitgeteilt oder bestätigt: Diese Logs werden von Emergent im Rahmen der eigenen Infrastruktur und der anwendbaren Bedingungen/Dokumentation verwaltet; DUBHCORE gibt keine nicht verifizierte numerische Frist an. Dies stellt keinen Startblocker dar.