Hosting & Sub-Auftragsverarbeiter
Wir arbeiten mit so wenigen externen Dienstleistern wie möglich. Diese Seite ist die maßgebliche Liste aller Drittanbieter, die im Auftrag von DeepScript personenbezogene Daten verarbeiten – mit Zweck, Standort und Garantien.
Übersicht
Wir betreiben unsere komplette Infrastruktur – Anwendung, Datenbank, Transkriptions-Engine, Object Storage, Backups – in den Hetzner-Rechenzentren in Deutschland. Damit verbleiben Inhaltsdaten unter deutschem Recht und werden nicht in Drittländer übermittelt. Ein US-Cloud-Anbieter (AWS, Azure, GCP) hat zu keinem Zeitpunkt Zugriff auf Audio oder Transkripte.
Einen Drittland-Bezug haben drei Dienstleister, und zwar ausnahmslos außerhalb der Inhaltsverarbeitung: Stripe für die Zahlungsabwicklung, Google für die Reichweitenmessung der Marketing-Webseite und die optionale Anmeldung mit Google-Konto, Microsoft für unsere E-Mail-Postfächer und die optionale Anmeldung mit Microsoft-Konto. Alle drei verarbeiten über ihre EU-Gesellschaften; der Konzernbezug in die USA ist durch EU-Standardvertragsklauseln abgesichert. Audio-Dateien und Transkripte sind davon nicht berührt.
Liste der Sub-Auftragsverarbeiter
Hetzner Online GmbH
AVV einsehen →Industriestr. 25, 91710 Gunzenhausen, Deutschland
- Zweck
- Hosting der Anwendung, Speicherung von Daten, Backup-Infrastruktur
- Datenkategorien
- Sämtliche im Rahmen der Dienstleistung verarbeiteten Daten (Audio, Transkripte, Account-Daten, Backups)
- Verarbeitungsort
- Nürnberg und Falkenstein, Deutschland
- Drittlandtransfer
- Keine Drittland-Übertragung
- Garantien
- ISO/IEC 27001 zertifiziert; Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen
Stripe Payments Europe Ltd.
AVV einsehen →1 Grand Canal Street Lower, Dublin 2, Irland
- Zweck
- Zahlungsabwicklung, Rechnungsstellung, Customer-Portal für Karten- und SEPA-Verwaltung
- Datenkategorien
- Name, Anschrift, USt-IdNr., E-Mail, Zahlungsmittel-Tokens, Transaktionsdaten – kein Zugriff auf Inhaltsdaten
- Verarbeitungsort
- EU (Irland); Mutterkonzern: USA
- Drittlandtransfer
- EU → USA: EU-Standardvertragsklauseln (SCCs) + DPF-Zertifizierung
- Garantien
- AVV gemäß Art. 28 DSGVO; PCI-DSS-Level 1 zertifiziert
Google Ireland Limited (Tag Manager / Analytics 4, Google Sign-in)
AVV einsehen →Gordon House, Barrow Street, Dublin 4, Irland
- Zweck
- Zwei getrennte Zwecke. Erstens Reichweitenmessung der Marketing-Webseite – Seitenaufrufe, Klick-Pfade, technische Stabilität; Aktivierung nur nach ausdrücklicher Einwilligung (Banner). Zweitens die optionale Anmeldung mit einem Google-Konto über die Schaltfläche „Mit Google fortfahren“; wer die Anmeldung per E-Mail-Code nutzt, löst diese Verarbeitung nicht aus. KEIN Zugriff auf Audio-Daten oder Transkripte.
- Datenkategorien
- Reichweitenmessung: IP-Adresse (gekürzt durch GA4), pseudonyme Geräte-ID (Cookie _ga), aufgerufene URL, Referrer, User-Agent. Anmeldung: Konto-Kennung, E-Mail-Adresse, Name
- Verarbeitungsort
- EU (Irland); Mutterkonzern: Google LLC, USA
- Drittlandtransfer
- EU → USA: EU-Standardvertragsklauseln (SCCs) + DPF-Zertifizierung
- Garantien
- AVV gemäß Art. 28 DSGVO; nur auf Produktiv-Umgebung deepscript.com aktiv (nicht auf dev.deepscript.com); deaktivierbar jederzeit über Footer-Link „Cookie-Einstellungen“
Microsoft Ireland Operations Limited (Microsoft 365, Entra ID Sign-in)
AVV einsehen →One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
- Zweck
- Zwei getrennte Zwecke. Erstens der Betrieb unserer E-Mail-Postfächer, über die Support- und Systemkorrespondenz läuft. Zweitens die optionale Anmeldung mit einem Microsoft-Konto über die Schaltfläche „Mit Microsoft fortfahren“. KEIN Zugriff auf Audio-Dateien, Transkripte oder die Datenbank – Inhalte berührt Microsoft nur, soweit Sie uns selbst welche per E-Mail zusenden.
- Datenkategorien
- E-Mail: Absender, Empfänger, Betreff, Nachrichtentext und Anhänge der an uns gerichteten Korrespondenz. Anmeldung: Konto-Kennung, E-Mail-Adresse, Name
- Verarbeitungsort
- EU (Irland); Mutterkonzern: Microsoft Corporation, USA
- Drittlandtransfer
- EU → USA: EU-Standardvertragsklauseln (SCCs), eingebunden über das Microsoft Data Protection Addendum
- Garantien
- Microsoft Products and Services Data Protection Addendum als AVV nach Art. 28 DSGVO; Bestandteil der kommerziellen Microsoft-Produktbedingungen und ohne gesonderte Unterzeichnung wirksam
Änderungen und Widerspruchsrecht
Geschäftskunden mit aktivem Auftragsverarbeitungsvertrag werden mindestens 30 Tage vor der Hinzunahme eines neuen Sub-Auftragsverarbeiters mit Zugriff auf personenbezogene Daten per E-Mail informiert. Dem Kunden steht in diesem Fall ein Widerspruchsrecht aus wichtigem Grund innerhalb von 14 Tagen zu – bei fortbestehendem Dissens hat er das Recht zur außerordentlichen Kündigung des Hauptvertrags.
Diese Seite ist die maßgebliche Quelle für die jeweils aktuelle Liste. Sie wird bei jeder Änderung unverzüglich angepasst und ist Bestandteil jedes AVV (Anlage 3).
Was wir bewusst NICHT nutzen
Folgende Anbieter werden bei DeepScript nicht eingesetzt – als bewusste Architekturentscheidung für Datensouveränität:
- · AWS, Azure, Google Cloud – keine US-Hyperscaler für Inhaltsverarbeitung
- · OpenAI, Anthropic, Google Gemini – keine externen KI-APIs für eure Audios, Transkripte oder deren Zusammenfassung
- · Meta Pixel, Hotjar, Mixpanel – kein Marketing-Tracking, kein Session-Recording
- · Intercom, Zendesk, Drift – kein externer Support-Chat mit Datenfluss
- · Mailchimp, HubSpot, Marketo – kein externer Marketing-Stack mit Account-Daten
Google Tag Manager + Google Analytics 4 setzen wir nur auf der öffentlich-zugänglichen Marketing-Seite ein, ausschließlich nach Einwilligung im Cookie-Banner. Für die App selbst (eingeloggter Bereich, Transkriptionen, Editor) findet keinerlei Web-Tracking statt.
Fragen?
Schick uns eine E-Mail an datenschutz@deepscript.com – wir antworten innerhalb eines Werktags.