Unterauftragsverarbeiter
Stand: 2026-08-07
1. Über diese Liste
Ein Unterauftragsverarbeiter ist ein externer Dienstleister, der personenbezogene Daten für einen Auftragsverarbeiter verarbeitet. Je nach Daten und Dienst kann Customermates einen Anbieter als Auftragsverarbeiter für Daten einsetzen, für die Customermates Verantwortlicher ist, oder als Unterauftragsverarbeiter für Daten, die Customermates im Auftrag eines Kunden verarbeitet.
Die vollständige Liste ist durch Verweis Bestandteil unserer Datenschutzerklärung. Nur Anbieter, die nachstehend ausdrücklich als im Auftrag eines Kunden mit personenbezogenen Daten befasst bezeichnet sind, werden als Unterauftragsverarbeiter in unseren Auftragsverarbeitungsvertrag einbezogen. Ein Auftragsverarbeiter auf der Verantwortlichenebene, ein eigenständiger Verantwortlicher oder ein anderer Empfänger wird nicht allein durch seine Aufnahme auf dieser Seite zum Unterauftragsverarbeiter. Wir halten die Liste aktuell und überprüfen sie, sobald ein relevanter Anbieter hinzugefügt, ersetzt oder entfernt wird.
Diese Seite gilt nur für den von Benjamin Wagner betriebenen verwalteten Customermates-Dienst. Dienstleister, die ein unabhängiger Self-Host-Betreiber auswählt oder konfiguriert – einschließlich Hosting-, PostgreSQL-, Transaktions-E-Mail-, OAuth-, Monitoring-, Backup- und Integrationsanbietern –, werden unmittelbar durch diesen Betreiber beauftragt und sind keine Unterauftragsverarbeiter von Customermates. Der Betreiber ist für eigene Verträge nach Art. 28 DSGVO, Übermittlungsgarantien nach Kapitel V DSGVO und öffentliche Informationen verantwortlich.
2. Rollen
Die nachstehend aufgeführten Anbieter unterstützen zwei verschiedene Arten der Verarbeitung:
- Für Website-, Konto-, Abrechnungs-, Sicherheits- und Support-Daten ist Customermates Verantwortlicher. Ein nachstehend aufgeführter Anbieter kann diese Daten in unserem Auftrag verarbeiten oder für die in seiner Tabellenzeile genannten Kategorien als eigenständiger Verantwortlicher handeln.
- Für Inhalte und Vorgänge verbundener Konten, einschließlich der verbundenen Postfächer, Nachrichten, Kontakte und Kalender eines Kunden sowie Inhalte und Interaktionsdaten sozialer Netzwerke, Profile, Kontaktanfragen und Such- und Listendaten aus Sales Navigator, ist der Kunde Verantwortlicher, Customermates handelt als Auftragsverarbeiter im Auftrag des Kunden, und die betreffenden nachstehenden Anbieter (insbesondere Unipile, unser Hosting-Anbieter Vercel, soweit die Anwendung diese Inhalte verarbeitet, und unser vertraglicher Datenbankanbieter Databricks, soweit er diese Inhalte speichert) handeln als Unterauftragsverarbeiter. Die zugrunde liegenden Kommunikationsplattformen (Google, Microsoft, LinkedIn, Meta/WhatsApp/Instagram, Telegram) handeln als eigenständige Verantwortliche für ihre eigenen Dienste.
Verarbeitet ein Anbieter personenbezogene Daten im Auftrag von Customermates, verlangt Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag; handelt er als Unterauftragsverarbeiter, muss dieser Vertrag zusätzlich die Pflichten aus Art. 28 Abs. 4 DSGVO auferlegen. Vertragsstatus und bekannte Einschränkungen jedes Anbieters sind nachstehend und in unserer Datenschutzerklärung angegeben. Die Offenlegung und technische Schutzmaßnahmen ersetzen weder einen erforderlichen Vertrag nach Art. 28 DSGVO noch einen Übermittlungsmechanismus nach Kapitel V DSGVO.
3. Aktuelle Unterauftragsverarbeiter und weitere Empfänger
| Anbieter oder Empfänger | Dienst und Zweck | Datenstandort und Übermittlungsgrundlage |
|---|---|---|
| Unipile, UNIPILE SAS, 168 rue de la Rotonde, 42153 Riorges, Frankreich (RCS Roanne 885265595) | Funktion für verbundene Konten: Transport für verbundene E-Mail-, Messaging-, soziale Netzwerk- und Kalenderkonten sowie entsprechende Vorgänge. Die Authentifizierung erfolgt in einem von Unipile gehosteten Ablauf; Customermates erhält weder Anbieter-Passwörter noch OAuth-Token. Der unterzeichnete Lieferanten-AVV bezeichnet Customermates als Verantwortlichen und Unipile als Auftragsverarbeiter. Nach der hier beschriebenen Rollenverteilung ist der Kunde Verantwortlicher, Customermates ist Auftragsverarbeiter und Unipile übernimmt die Rolle des Lieferanten und Unterauftragsverarbeiters. Der Anhang nennt personenbezogene Stammdaten, Kontaktdaten, berufliche Daten, offengelegte oder in öffentlichen Verzeichnissen enthaltene Informationen und IP-Adressen. Der tatsächliche Umfang umfasst außerdem Nachrichten, Anhänge, Kalender, Autorisierungsdaten, Korrespondenzpartner, Daten zu Beiträgen und Interaktionen, Personen- und Unternehmensprofile, Kontaktanfragen sowie Such- und Listendaten aus Sales Navigator. | Unipile gibt an, dass Daten verbundener Konten in der EU (Frankreich) auf einer von Scaleway betriebenen Infrastruktur gespeichert werden. Sein AVV erlaubt Übermittlungen außerhalb der EU bei Garantien nach Kapitel V DSGVO; die Unterauftragsverarbeiter-Liste nennt einen US-Zahlungsdienstleister und fünf Proxy-Anbieter ohne Standortangabe. Der Lieferanten-AVV benennt für diese Anbieter keinen konkreten Mechanismus nach Kapitel V; für jede betroffene Übermittlung gilt die Anforderung unseres AVV an Übermittlungen nach Kapitel V. |
| Vercel, Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | Hosting der Website und Webanwendung sowie cookieloses Vercel Web Analytics zur aggregierten Nutzungsmessung auf Website und Anwendung. | USA. EU-Standardvertragsklauseln aus dem Jahr 2021 (Art. 46 DSGVO), Module 1 bis 3, in Anlage 3 des Auftragsverarbeitungszusatzes von Vercel. Wenn die Benachrichtigungen abonniert wurden, informiert Vercel über Änderungen seiner Unterauftragsverarbeiter und gewährt nach der Mitteilung fünf Kalendertage zum Widerspruch, verspricht aber nicht, die neue Beauftragung während dieser Frist aufzuschieben. Unser AVV sagt daher eine unverzügliche Weiterleitung statt einer festen Vorabfrist zu. |
| Databricks, Inc. (Neon), mit Betrieb der verwalteten Datenbank über Neon, LLC | Vertraglicher Unterauftragsverarbeiter für die verwaltete PostgreSQL-Datenbank: Speicherung und Verarbeitung von Anwendungsdaten, einschließlich gespeicherter Inhalte verbundener Konten. Customermates nutzt nur den Datenbankdienst und hat für diese Verarbeitung keinen KI-gestützten Databricks-Dienst ausgewählt. | Primäre Produktivdatenbank in der AWS-Region Frankfurt (eu-central-1) konfiguriert; dies ist eine gewählte Produkteinstellung und keine vertragliche Datenresidenzgarantie. Das Neon Platform Services Product Specific Schedule mit Stand 5. August 2026 (https://neon.com/platform-terms) ergänzt die vollständige aktuelle Unterauftragsverarbeiter-Liste von Databricks unter https://www.databricks.com/legal/databricks-subprocessors um Grafana Labs in den USA. Die Liste umfasst Anbieter und verbundene Unternehmen in den dort genannten Ländern und bezeichnet einige Cloud- und KI-Anbieter als kundenseitig ausgewählt. Das Databricks Data Processing Addendum (https://www.databricks.com/legal/dpa) bezieht für beschränkte Übermittlungen an Databricks die EU-Standardvertragsklauseln aus dem Jahr 2021 (Art. 46 DSGVO) ein. |
| Forward Email, Forward Email, LLC, 16192 Coastal Hwy, Lewes, DE 19958, USA | Endgültiges gehostetes Betreiberpostfach für die eigenen betrieblichen E-Mail-Adressen von Customermates. Der Dienst verarbeitet Adressen, Inhalte, Anhänge, Kopfzeilen sowie Zustellungs- und Sicherheitsmetadaten. Er wird weder für verbundene Kundenpostfächer noch für gewöhnliche CRM-Daten eingesetzt; ein gesonderter nachgelagerter Postfachanbieter wird nicht eingesetzt. Nur soweit ein Kunde vom AVV erfasste Daten in Support- oder Feedbackkorrespondenz aufnimmt, handelt Forward Email als begrenzter Unterauftragsverarbeiter. | USA. Der Standard-AVV von Forward Email wird elektronisch über dessen Nutzungsbedingungen angenommen und bezieht für einschlägige Übermittlungen die EU-Standardvertragsklauseln ein. |
| Sentry, Functional Software, Inc. (firmierend als Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA (EU-Vertreter: Sentry Software Netherlands B.V., Amsterdam) | Fehler- und Leistungsüberwachung über Browser, Server und Hintergrund-Worker hinweg. Sentry handelt für Fehlerereignis- und sonstige Servicedaten als Auftragsverarbeiter und, soweit ein Ereignis vom AVV erfasste personenbezogene Daten enthält, für dieses Ereignis als Unterauftragsverarbeiter; für eigene Konto-, Profil-, Geräte-, Nutzungs- und Support-Daten handelt Sentry als eigenständiger Verantwortlicher. | Fehlerereignisdaten werden in der EU (Frankfurt) gespeichert; Konto-, Authentifizierungs-, Integrations-, Audit-Log- und Support-Daten werden in den USA gespeichert. Zertifizierung nach dem EU-US Data Privacy Framework und EU-Standardvertragsklauseln. |
| Lemon Squeezy, Sold through Link, LLC (vormals Lemon Squeezy LLC), 222 South Main Street, Suite 500, Salt Lake City, UT 84101, USA | Kein Unterauftragsverarbeiter für Selbstbedienungskäufe: Lemon Squeezy handelt nach eigenen Bedingungen als Merchant of Record und eigenständiger Verantwortlicher. Auf verwalteten Customermates-Routen wird das Affiliate-Skript durch das Root-Layout eingeplant. Das aktuelle Root-Layout unterdrückt das Skript nicht allein deshalb, weil APP_MODE=self-hosted gesetzt ist; ein unabhängiger Self-Host-Betreiber kontrolliert seine eigene Bereitstellung und seine rechtlichen Hinweise. Wenn der Affiliate-Tracker initialisiert wird, liest er document.cookie. Findet er ein vorhandenes ls_aff_ref-Cookie oder einen aff-Parameter, erzeugt er anschließend einen pseudonymen Browser-Fingerabdruck, kann das Cookie setzen und sendet Attributionsdaten an Lemon Squeezy. Dessen Rolle für dieses Tracking ist nicht geklärt. | USA. Für Selbstbedienungskäufe gilt die eigene Datenschutzerklärung von Lemon Squeezy. Die vertragliche Rolle und der Übermittlungsmechanismus für Affiliate-Tracking sowie die Cookie-Laufzeit sind offen. Das Affiliate-Tracking ist für die Bereitstellung des vom Besucher ausdrücklich gewünschten digitalen Dienstes nicht unbedingt erforderlich; vor einer nicht erforderlichen Speicherung von oder einem Zugriff auf Geräteinformationen ist daher eine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Ein entsprechender Einwilligungsmechanismus ist derzeit nicht implementiert. |
| Resend, Plus Five Five, Inc. (firmierend als Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA | Transaktions- und Konto-E-Mails auf der Verantwortlichenebene: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladungen, Hinweise zur Testphase sowie zum Status des Kontos und verbundener Konten, Mitteilungen über aktualisierte AGB, den AVV, die Datenschutzerklärung und Unterauftragsverarbeiter sowie interne Benachrichtigungen an uns. Enthält eine interne Support- oder Feedbackbenachrichtigung vom AVV erfasste personenbezogene Daten, handelt Resend für diesen Ausschnitt als begrenzter Unterauftragsverarbeiter. Keine Werbe- und keine Marketing-E-Mails. | USA. EU-Standardvertragsklauseln und Zertifizierung nach dem EU-US Data Privacy Framework. |
| OpenAI, OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (für Kunden im EWR und in der Schweiz geplant) | Geplanter optionaler KI-Assistent innerhalb des CRM. Die Funktion ist noch nicht verfügbar, und derzeit werden keine Daten an OpenAI übermittelt. Die Aufnahme erfolgt vorab nach dem Informationsverfahren unseres Auftragsverarbeitungsvertrags. | Irland; die Verarbeitung kann Übermittlungen in die USA umfassen. Soweit anwendbar, müssen EU-Standardvertragsklauseln (Art. 46 DSGVO) nach dem Data Processing Addendum von OpenAI vor Verfügbarkeit der Funktion wirksam vereinbart sein. |
Externe Bild-Hosts: flagcdn.com; uneed.best; b.sf-syn.com (SourceForge); twelve.tools; wired.business; startupfa.me; open-launch.com | Vom Browser geladene Flaggen und Verzeichnis-Badges. Der Browser kann die IP-Adresse, den Abrufzeitpunkt, die angeforderte Bild-URL, HTTP- oder Browser-Header und abhängig von der Browserrichtlinie den verweisenden Ursprung übermitteln. CRM-Inhalte oder Inhalte verbundener Konten werden nicht bewusst übertragen. Diese Domains sind weitere Empfänger für die Darstellung auf Verantwortlichenebene und keine Unterauftragsverarbeiter für kundenseitig verantwortete Inhalte. | Die anbieterspezifische Infrastruktur kann eine Verarbeitung außerhalb des EWR umfassen. Rollen, Verarbeitungsstandorte und Übermittlungsgarantien der Betreiber wurden von Customermates nicht vertraglich festgestellt; siehe Datenschutzerklärung. |
Weitere Informationen zu Unipile finden Sie in dessen Datenschutzerklärung unter https://www.unipile.com/privacy-policy/, den Nutzungsbedingungen unter https://www.unipile.com/terms-of-use/ sowie den Informationen zu Sicherheit und Compliance unter https://www.unipile.com/security-compliance/.
4. Änderungen dieser Liste
Entscheidet Customermates selbst über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters für eine im Auftrag eines Kunden durchgeführte Verarbeitung, informieren wir die betroffenen Kunden vor Beginn der Verarbeitung und räumen ihnen eine angemessene Gelegenheit zum Widerspruch ein. Über eine beabsichtigte Änderung in der eigenen Lieferkette eines bereits eingesetzten Lieferanten informieren wir die betroffenen Kunden unverzüglich nach Erhalt der Mitteilung und nennen eine etwaige verbleibende Widerspruchsfrist des Lieferanten; wir versprechen keine feste Vorabfrist, die der Lieferant nicht garantiert. Widerspricht ein Kunde aus berechtigten Datenschutzgründen und können wir dem Widerspruch nicht abhelfen, kann der Kunde den betroffenen Dienst nach Maßgabe unseres Auftragsverarbeitungsvertrags kündigen.
5. Kontakt
Bei Fragen zu dieser Liste oder zum Datenschutz allgemein können Sie sich an den Verantwortlichen wenden:
Benjamin Wagner
An den Kasernen 25
68167 Mannheim
Deutschland
E-Mail: mail@customermates.com
Stand: 07.08.2026