1. Geltungsbereich
Diese Liste umfasst alle externen Dienstleister, die im Auftrag der RoadReview GmbH personenbezogene Daten verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO). Sie ergänzt die Datenschutzerklärung (/datenschutz) und wird bei wesentlichen Änderungen — neuer Sub-Prozessor, Wechsel der Hosting-Region, Aufnahme zusätzlicher Komponenten — aktualisiert. B2B-Kunden mit eigenem AVV erhalten auf Anfrage die jeweils aktuelle Liste in PDF-Form.
Einige der unten gelisteten Sub-Prozessoren betreffen ausschließlich die RoadReview-App und nicht die Marketing-Website. Wir listen sie trotzdem hier, weil die Datenschutz-Erklärung der RoadReview GmbH gesamtheitlich zu verstehen ist. Die Spalte Geltung macht die Zuordnung transparent.
2. Aktuelle Sub-Prozessoren
| Anbieter | Zweck | Standort | AVV vorhanden | DSGVO-Mechanismus | Geltung |
|---|---|---|---|---|---|
| Railway Corp. (USA) | Website-Hosting und private Kontakt-Anfrageablage | EU-Laufzeit/-Speicher: Amsterdam; US-Anbieter | Railway-DPA; geltender Vertragsstand über Datenschutzkontakt | Siehe Railway-DPA und Standardvertragsklauseln | Website |
| Mailgun Technologies, Inc. (USA) | Versand transaktionaler E-Mails der App (z. B. Einladung, Passwort-Reset) | EU-Region (Frankfurt) | Ja — Mailgun DPA | SCC + DPF | App |
| Google Ireland Ltd. (Maps Platform — Maps & StreetView) | Karten- und 3D-StreetView-Darstellung von Fahrt-Routen und Fehler-Orten in der App | Primär EU/EWR; ggf. globale Google-Infrastruktur | Ja — Google Cloud DPA (Maps Platform) | SCC + DPF (für ggf. anfallende US-Übermittlungen) | App |
| rapidmail (Versandadapter; standardmäßig deaktiviert) | Newsletter-Registrierung mit Bestätigungs-Mail nach Freigabe und vollständiger Konfiguration | Vor Aktivierung anhand der tatsächlichen Anbietervereinbarung zu bestätigen | Aktivierung setzt geklärte Auftragsverarbeitung voraus; kein Vertragsabschluss behauptet | Vor Aktivierung zu klären; keine aktive Übermittlung aus der Planung ableitbar | Website |
| Functional Software, Inc. dba Sentry (USA) | Fehler- und Crash-Reporting der mobilen App (Stacktraces, Geräte-Metadaten) | EU-Region (Frankfurt) — Sentry EU-Datenresidenz | Ja — Sentry DPA | SCC + DPF | App |
| Hyperknot Software Kft. — OpenFreeMap (Ungarn, EU) | Karten-Vector-Tiles für die interaktive Pilotschul-Karte (`/karte`, Standort-Pages, Element-Embeds) | EU/EWR (Ungarn) — Cloudflare-EU-Edge-CDN | Nicht erforderlich — Open-Source-Projekt, kein API-Key, technisch erforderlicher Tile-Bezug | Keiner — EU/EWR | Website |
| Google Ireland Ltd. (YouTube — Tutorial-Hub-Embeds) | Auslieferung der eingebetteten Tutorial-Videos auf der Seite `/tutorials`. Vor dem Klick auf das Vorschaubild kein Request; mit Klick wird der `youtube-nocookie.com`-Player nachgeladen. | EU/EWR (Verantwortlicher Dublin); USA (Player-Auslieferung über Google LLC) | Ja — Google YouTube-Nutzungsbedingungen + Google Workspace DPA | SCC + DPF (Google LLC ist auf der DPF-Liste) | Website |
| beehiiv, Inc. (USA) | Versand des Marketing-Newsletters (Double-Opt-In-Verteiler, DOI-Mail, Abmelde-Link, Newsletter-Archiv) | USA (New York) — globales Edge-Delivery | Geplant — beehiiv DPA (Abschluss durch Aleks ausstehend) | SCC + DPF | Website |
Legende: SCC = EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). DPF = EU-US Data Privacy Framework (Art. 45 DSGVO, ergänzend bei US-Anbietern mit Selbstzertifizierung). Geltung grenzt ab, ob der Sub-Prozessor Daten der Website, der App oder beider Bereiche verarbeitet.
3. Eigene Infrastruktur (keine Sub-Prozessoren)
Folgende Komponenten betreiben wir auf eigener Infrastruktur; sie sind keine Sub-Prozessoren im Sinne von Art. 28 DSGVO und daher in der obigen Tabelle nicht aufgeführt:
- Rybbit (cookieless Reichweitenmessung,
self-hosted unter
rybbit.internal.thecodecave.de) — Details siehe Datenschutz § 4 und /cookies. - Cloud-Backend (NestJS auf Kubernetes,
PostgreSQL via Prisma) — gehostet auf eigener
Kubernetes-Infrastruktur in der EU. Siehe Tech-Stack-
Sektion in
about_roadreview.md. - Schriftarten (Inter, Inter Tight,
JetBrains Mono) — lokal von
/fonts/; keine Verbindung zu Google Fonts oder anderen CDNs.
Hinweis Firebase Authentication: Wir evaluieren derzeit den Einsatz von Firebase Auth (Google Ireland Ltd.) für die Schüler- und Lehrer-Authentifizierung der App. Sobald Firebase Auth produktiv eingesetzt wird, ergänzen wir diese Liste um den entsprechenden Eintrag und passen den Stand an.
4. Änderungen an dieser Liste
Wir aktualisieren diese Liste, sobald sich am Bestand unserer Sub-Prozessoren etwas Wesentliches ändert. B2B-Kunden mit eigenem AVV werden zusätzlich vorab über geplante neue Sub-Prozessoren informiert; Widerspruch ist nach den Regelungen des jeweiligen AVV möglich.
Anfragen zu AVV-Kopien oder zu konkreten Sub-Prozessoren richten Sie bitte an aleks@roadreview.de. Die jeweils aktuelle Fassung dieser Seite ist unter roadreview.de/subprozessoren abrufbar.