Unterauftragsverarbeiter

1. Grundlegende Fakten

Dies ist die maßgebliche Liste der Unterauftragsverarbeiter für horsenose. Die Datenschutzerklärung, der AVV und die Seite Sicherheit & Vertrauen verweisen hierauf, statt die Tabelle doppelt vorzuhalten.

• Betreiber / Verantwortlicher (eigene Daten): DF Daniel Fojcik, ein polnisches Einzelunternehmen (jednoosobowa działalność gospodarcza, JDG), eingetragen im CEIDG-Register. NIP 6472592229 · EU-USt-IdNr. PL6472592229 · REGON 387798601. Hauptgeschäftssitz: ul. Goplany 36a, 44-321 Marklowice, Polen. Firmiert für dieses Produkt als Nose / horsenose.
• Rechts-/Datenschutzkontakt: support@horsenose.eu. Es ist kein formeller Datenschutzbeauftragter benannt; der Inhaber ist der Datenschutzkontakt.
• Aufsichtsbehörde: Präsident des Amtes für den Schutz personenbezogener Daten (UODO), ul. Stawki 2, 00-193 Warszawa, Polen — uodo.gov.pl.
• Zwei Rollen (siehe die Datenschutzerklärung → „Wer verantwortlich ist" und den AVV): Verantwortlicher — für Besucher der Marketing-Website, die Konto-/Abrechnungsdaten von Stall-Administratoren und Reitlehrern, Produktanalyse und Sicherheits-/Missbrauchspräventionsdaten; Auftragsverarbeiter — für die operativen Daten, die ein Stall über seine Reiter/Kunden einträgt (der Stall ist Verantwortlicher; geregelt durch den kundenseitigen AVV).
• Datenstandort-Haltung (ehrlich): standardmäßig EU — die primären Datenspeicher, der E-Mail-Versand und die Analyse laufen im EWR (Supabase Frankfurt; Vercel fra1; Brevo Frankreich; PostHog EU Cloud). Sentry und Upstash sind für ihre EU-Regionen konfiguriert, und ihre Vereinbarungen zur Auftragsverarbeitung binden zusätzlich die Standardvertragsklauseln der EU als Rückfallmechanismus für jede zufällige Verarbeitung außerhalb des EWR ein. Es sind nicht 100 % EWR: Cloudflare betreibt ein globales Edge-Netzwerk für DNS, CDN und Turnstile-Bot-Schutz, und Google OAuth (als optionale Anmeldung angeboten) wird aus den Vereinigten Staaten betrieben. Diese beiden Nicht-EWR-Randbereiche sind durch das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert (siehe Tabelle).
• Aufbewahrungshaltung: Daten werden für die Dauer des aktiven Kontos vorgehalten; bei Löschung eines Reiters (Art. 17) werden direkte Identifikatoren nach einer 30-tägigen Karenzzeit entfernt (Pseudonymisierung nach Art. 4 Abs. 5 DSGVO — Fahrt-/Finanzdatensätze behalten einen nicht auflösbaren Verweis auf das bereinigte Profil, keine vollständige Anonymisierung nach Erwägungsgrund 26); beim Offboarding eines Stalls werden Daten maximal 90 Tage in einer automatisierten, umkehrbaren Karenzfrist aufbewahrt, nur auf Anfrage exportiert und anschließend automatisch gelöscht. Die 5-jährige steuerliche Aufbewahrungspflicht liegt beim Stall (und bei horsenose nur für dessen eigene Abonnementrechnungen) — horsenose hält Reiter-Personendaten nicht 5 Jahre lang vor. Einzelheiten in der Datenschutzerklärung → „Wie lange wir Daten aufbewahren (Speicherdauer)" und im AVV → „Aufbewahrung, Rückgabe und Löschung Ihrer Daten".
• Zahlungen: Es werden keine Reiter-Zahlungen verarbeitet (Bar / Reitpass / Gutschein / BLIK bleiben Kennzeichnungen zur Nachverfolgung). Die Abonnementabrechnung (das Abonnement eines Stalls bei horsenose) ist live: Stripe rechnet polnische Ställe direkt in PLN ab (horsenose stellt die PL-faktura aus). Dodo Payments ist der Merchant of Record für alle nicht-polnischen Ställe (EUR/GBP/USD) — Dodo ist der rechtliche Verkäufer des Abonnements, stellt die steuerkonforme Rechnung/Quittung aus und berechnet und führt die Umsatz-/Mehrwertsteuer in der Zielrechtsordnung ab. Beide verarbeiten die Abrechnungsidentitätsdaten des Stall-Administrators im Auftrag von horsenose. Als Merchant of Record ist Dodo mehr als ein Auftragsverarbeiter — es ist ein unabhängiger Verkäufer/Verantwortlicher für die Transaktion selbst. Jede künftige Änderung der Zahlungsanbieter folgt den Vorabankündigungs- und Widerspruchsmechanismen im AVV → „Vertraulichkeit, Sicherheit und Unterauftragsverarbeiter".

2. Hauptliste der Unterauftragsverarbeiter

Jeder Unterauftragsverarbeiter erhält nur die für seine Funktion erforderlichen Daten. „Region“ bezeichnet die Datenverarbeitungsregion; mehrere Anbieter sind zwar in den USA eingetragen, bieten aber EU-Datenregionen an, sodass ein AVV mit SCC-/DPF-Absicherung jeden möglichen Zugriff der Anbieter-Rechtsperson abdeckt.

3. Änderungen dieser Liste

Verpflichtung bei Wechsel eines Unterauftragsverarbeiters: Wenn horsenose einen Unterauftragsverarbeiter hinzufügt, ersetzt oder entfernt, aktualisiert es diese Liste und gibt aktiven Abonnenten/Ställen mindestens 15 Tage im Voraus Bescheid (per E-Mail an die Konto-Adresse des Stalls oder produktintern), bevor die Änderung wirksam wird (früher nur, wenn dies aus Gründen der Sicherheit oder Dienstkontinuität dringend erforderlich ist), verbunden mit einer angemessenen Gelegenheit zum Widerspruch aus Datenschutzgründen. Die Einzelheiten sind im AVV → „Vertraulichkeit, Sicherheit und Unterauftragsverarbeiter" geregelt.

4. Register der Auftragsverarbeiter-AVVs

Jeder oben genannte Anbieter veröffentlicht einen Standard-Auftragsverarbeitungszusatz, der über seine Nutzungsbedingungen oder durch Annahme im jeweiligen Konto gilt — keiner von ihnen unterzeichnet einen zweiseitigen AVV in Papierform, und Art. 28 Abs. 3 DSGVO verlangt dies auch nicht. horsenose führt ein internes Register mit der AVV-URL jedes Anbieters, der herangezogenen Version, dem Annahmemechanismus und dem Datum der letzten Überprüfung. Dieses Register ist getrennt vom kundenseitigen AVV (Stall ↔ horsenose) zu betrachten.