Verzeichnis der Verarbeitungstätigkeiten
Diese Übersicht listet alle externen Auftragsverarbeiter, mit denen wir personenbezogene oder pseudonymisierte Daten verarbeiten — als Erweiterung zur Datenschutzerklärung nach Art. 30 DSGVO.
Wo die Verarbeitung in einem Drittland stattfindet, sind Standardvertragsklauseln (SCC) der EU-Kommission abgeschlossen oder werden für jede neue Integration vor Inbetriebnahme abgeschlossen.
| Dienstleister | Kategorie | Zweck | Standort | Rechtsgrundlage | Datenkategorien | SCC | AV / DPA |
|---|---|---|---|---|---|---|---|
| Cloudflare, Inc. (Cloudflare Pages, KV, Workers, DNS) | Hosting / CDN / Edge-Funktionen | Ausspielen der statischen Website + Klick-Zähler (`/go/<slug>`) + Pages-Functions für Newsletter und Erfahrungsberichte. | EU + Drittland (USA) | Art. 6 Abs. 1 lit. f DSGVO | Verbindungsdaten (IP für Routing, nicht persistent gespeichert); aggregierte Klick-Zähler; Mail-Adresse + Inhalt bei Newsletter-/Review-Submission (transient, an Plunk bzw. GitHub weitergereicht). | ja | DPA |
| GitHub, Inc. | Issue-Tracker (Review-Moderation) | Empfang von Patient-Erfahrungsberichten zur redaktionellen Prüfung als GitHub-Issue im Backoffice-Repo. | EU + Drittland (USA) | Art. 6 Abs. 1 lit. a + f DSGVO | Erfahrungsbericht-Text, Bewertung, Anbieter-Slug, optional Pseudonym. E-Mail-Adresse wird NIE im Issue gespeichert, sondern nur im Cloudflare-Logpush für interne Rückfragen. | ja | DPA |
| Plunk (geplant self-hosted auf Cloudflare Workers) | Newsletter-Versand | Double-Opt-In + Versand der Newsletter-Bestätigungs- und Inhaltsmails. | EU (Cloudflare-EU-Region) | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) | E-Mail-Adresse + ausgewählte Themen-Tags. Keine Tracking-Pixel in versendeten Mails. | n/a | DPA |
| Google LLC (Gemini API, optional, Build-Zeit) | KI-gestütztes SEO-Content-Rewriting | Optionaler Build-Schritt: Umformulierung redaktioneller Texte nach Tonalität pro Domain. Wird zur Laufzeit der Website NICHT aufgerufen — kein Nutzer-Traffic erreicht die API. | EU (`europe-west1`-Region) | Art. 6 Abs. 1 lit. f DSGVO | Ausschließlich öffentlich publizierter redaktioneller Text. Keine Patienten-, Nutzer- oder Anbieter-Stammdaten. | ja | DPA |
Drittland-Übermittlungen — Risikoabwägung
Cloudflare und GitHub übermitteln Daten teilweise in die USA. Wir bewerten das Risiko der Übermittlung als gering, weil:
- Cloudflare keine personenbezogenen Daten bei uns persistent speichert (statische Auslieferung + Edge-KV-Zähler ohne Personenbezug).
- GitHub nur Erfahrungsberichts-Inhalte nach freiwilliger Einsendung erhält; E-Mail-Adressen werden nicht in das Issue geschrieben.
- Beide Anbieter über Standardvertragsklauseln verfügen und an EU-zertifizierte Subprocessor-Listen gebunden sind.
Eine vollständige TIA (Transfer Impact Assessment) liegt intern vor und wird auf Anfrage an Aufsichtsbehörden ausgehändigt.
Änderungen an dieser Liste
Wir aktualisieren das Verzeichnis bei jeder Integration eines neuen Dienstleisters oder bei wesentlichen Änderungen am Verarbeitungsumfang. Die letzte Aktualisierung ist im Git-Verlauf dieser Datei nachvollziehbar.
Kontakt
Für Anfragen zum Verfahrensverzeichnis: dsgvo@cannabis-telemedizin.com.