Unterauftragsverarbeiter
Version 2.3Letzte Aktualisierung:
Diese Seite listet die Drittanbieter-Unterauftragsverarbeiter (Anbieter und Dienstleister) auf, die Zenovay ("Zenovay", "wir", "uns" oder "unser") zur Unterstützung bei der Bereitstellung, Pflege und Verbesserung unserer Analyseplattform und damit verbundener Dienste einsetzt.
Jeder hier aufgeführte Unterauftragsverarbeiter wird auf Grundlage schriftlicher Auftragsverarbeitungsbedingungen beauftragt, die ihn verpflichten, personenbezogene Daten nur auf unsere Weisung zu verarbeiten, sie vertraulich zu behandeln, angemessene Sicherheitsmassnahmen anzuwenden und bei Anfragen betroffener Personen zu unterstützen. Wir haben kein eigenes unabhängiges Sicherheitsaudit dieser Anbieter durchgeführt und behaupten das auch nicht: Wo ein Anbieter über eine unabhängige Zertifizierung oder einen Prüfbericht verfügt, weisen wir diese als die des Anbieters aus, nicht als unsere.
Was ist ein Unterauftragsverarbeiter
Ein Unterauftragsverarbeiter ist ein Drittauftragsverarbeiter, der von Zenovay beauftragt wird, um bei der Erbringung unserer Dienste zu helfen. Diese Unterauftragsverarbeiter können Kundendaten in unserem Auftrag für folgende Zwecke verarbeiten:
- Hosting-Infrastruktur und Content-Delivery
- Datenbankverwaltung und Datenspeicherung
- Zahlungsabwicklung und Abonnementverwaltung
- E-Mail-Versand und Kommunikationsdienste
- Authentifizierung und Identitätsverwaltung
- Analyse- und Überwachungsdienste
Aktülle Unterauftragsverarbeiter
Die folgende Tabelle listet alle aktiven Unterauftragsverarbeiter auf, die Zenovay zum oben angegebenen Datum einsetzt:
| Unterauftragsverarbeiter | Zweck | Standort | Übermittlungsmechanismus | Website |
|---|---|---|---|---|
| Cloudflare, Inc. | Edge-Computing (Workers), Schlüssel-Wert-Speicher (KV), statisches Hosting (Pages), CDN, DDoS-Schutz, Bot-Schutz (Turnstile) und AI Gateway | Vereinigte Staaten (Global Edge) | EU-US DPF / Schweiz-US DPF | cloudflare.com/privacypolicy/ |
| Stripe, Inc. | Zahlungsabwicklung, Abrechnung und Abonnementverwaltung | Vereinigte Staaten | EU-US DPF / Schweiz-US DPF | stripe.com/privacy |
| Resend, Inc. | Transaktionaler E-Mail-Versand und Benachrichtigungsdienste | Vereinigte Staaten | SCCs | resend.com/legal/privacy-policy |
| Mapbox, Inc. | Rendering von Kartenkacheln und Geocoding für die Karten- und Globus-Ansichten im Zenovay-Dashboard. Wird nicht verwendet, um Website-Besucher zu lokalisieren | Vereinigte Staaten | SCCs | mapbox.com/legal/privacy |
| Google LLC | OAuth-Social-Authentifizierung (optionale Anmeldemethode) | Vereinigte Staaten | EU-US DPF / Schweiz-US DPF | policies.google.com/privacy |
| GitHub (Microsoft Corp.) | OAuth-Social-Authentifizierung (optionale Anmeldemethode) | Vereinigte Staaten | EU-US DPF / Schweiz-US DPF | docs.github.com/en/site-policy/privacy-policies/github-general-privacy-statement |
| OpenAI, LLC | KI-Funktionen: Analyseerkenntnisse, Abfragen in natürlicher Sprache, Triage von Support-Anfragen, der geführte Installationsassistent und der Sprachmodus der AI Interviews, bei dem das Mikrofon-Audio der befragten Person in Echtzeit an OpenAI gestreamt wird. Anfragen werden über Cloudflare AI Gateway geleitet, ausser beim geführten Installationsassistenten und beim Sprachmodus der AI Interviews, die OpenAI direkt aufrufen | Vereinigte Staaten | SCCs | openai.com/policies/privacy-policy |
| IPwho.is | IP-Geolokalisierung. Erhält die IP-Adresse des Besuchers, um ungefähres Land, Region und Stadt zurückzugeben. Wird auf dem regulären Tracking-Pfad verwendet, nicht nur als Fallback | EU / Global | Angemessenheit / SCCs | ipwho.is |
| Sentry, Inc. | Fehlerüberwachung, Anwendungsleistungs-Tracking und Absturzmeldungen | Vereinigte Staaten (Unternehmen); Fehlerdaten werden an den Endpunkt der Region Europäische Union von Sentry gesendet | SCCs | sentry.io/privacy/ |
| LemonSqueezy (Lemon Squeezy, LLC) | Erhält keine Daten von Zenovay. Aufgeführt, weil ein Kunde sein eigenes LemonSqueezy-Konto verbinden kann, damit seine Verkäufe in seinem Zenovay-Dashboard zugeordnet werden; in dieser Richtung sendet LemonSqueezy Daten an uns. Die eigenen Abonnements von Zenovay werden ausschliesslich über Stripe abgerechnet | Vereinigte Staaten | SCCs | lemonsqueezy.com/privacy |
| Polar Software, Inc. | Erhält keine Daten von Zenovay. Aufgeführt, weil ein Kunde sein eigenes Polar-Konto verbinden kann, damit seine Verkäufe in seinem Zenovay-Dashboard zugeordnet werden; in dieser Richtung sendet Polar Daten an uns. Die eigenen Abonnements von Zenovay werden ausschliesslich über Stripe abgerechnet | Vereinigte Staaten | SCCs | polar.sh/legal/privacy |
| Anthropic, PBC | Beauftragt für KI-gestützte Klassifikation und Entwurfserstellung in der Postfach-Funktion von Zenovay, geleitet über Cloudflare AI Gateway. Diese Funktion ist derzeit nicht in der Produktion ausgerollt, sodass Anthropic heute keine Kundendaten verarbeitet. Sie ist hier vorab aufgeführt, damit das Einschalten der Funktion keinen nicht offengelegten Unterauftragsverarbeiter hinzufügt | Vereinigte Staaten | EU-US DPF / SCCs | anthropic.com/privacy |
| IPinfo.io (IPinfo LLC) | IP-Geolokalisierung und Reverse-IP-Unternehmensabfrage. Erhält die IP-Adresse des Besuchers und gibt einen ungefähren Standort sowie, soweit zutreffend, die hinter der Adresse stehende Organisation zurück | Vereinigte Staaten | SCCs | ipinfo.io/privacy |
| Oracle Corporation (Oracle Cloud Infrastructure) | Hosting der primären Datenbank (Konto- und Authentifizierungsdaten) und der zugehörigen Sicherungen seit dem 28. Oktober 2026, von Zenovay mit der Open-Source-Software von Supabase betrieben, sowie der Analytik-Datenbank (ClickHouse) für Website-Besucherereignisse und deren Backups seit dem 23. Oktober 2026. Die Sicherungen liegen in Oracle Object Storage in derselben Region | Schweiz (eu-zurich-1, Zürich) | Angemessenheit (Daten in der Schweiz); SCCs (Oracle-Auftragsverarbeitungsvertrag) gelten für etwaige Support-Zugriffe ausserhalb des EWR oder der Schweiz | oracle.com/legal/privacy/ |
| Backblaze, Inc. | Verschlüsselte Dateispeicherung (hochgeladene Bilder und Anhänge, Session Replays, Heatmap-Screenshots) seit dem 29. Oktober 2026 sowie für verschlüsselte Kopien der nächtlichen Datenbanksicherungen seit dem 31. Oktober 2026 | Europäische Union (eu-central, Amsterdam, Niederlande) | Daten im EWR (Niederlande); Backblaze-Auftragsverarbeitungsvertrag mit Standardvertragsklauseln für etwaige Zugriffe aus den Vereinigten Staaten | backblaze.com/company/policy/privacy |
Optionale Unterauftragsverarbeiter
Die folgenden Unterauftragsverarbeiter werden nur eingesetzt, wenn Kunden bestimmte optionale Funktionen aktivieren:
| Unterauftragsverarbeiter | Zweck | Funktion | Übermittlungsmechanismus | Website |
|---|---|---|---|---|
| Clearbit (HubSpot, Inc.) | Reverse-IP-Unternehmensabfrage. Erhält die IP-Adresse des Besuchers und gibt Organisationsattribute zurück | B2B-Unternehmensidentifikation | EU-US DPF / SCCs | ipinfo.io/privacy |
| Amazon Web Services (S3) | Kundenverwalteter Objektspeicher. Aggregierte analytics_daily-Metriken werden in einen Bucket geschrieben, den der Kunde besitzt und konfiguriert. Zenovay agiert ausschliesslich als Agent: Anmeldedaten, Bucket, Region und Lifecycle-Richtlinie liegen vollständig in der Hand des Kunden | Warehouse Export (S3-kompatibel) - Scale-Plan | Kundengesteuert (die Übermittlung erfolgt unter der eigenen Vereinbarung des Kunden mit seinem Speicheranbieter, nicht unter derjenigen von Zenovay) | hubspot.com/data-privacy/privacy |
| Google Cloud (BigQuery) | Kundenverwaltetes Data Warehouse. Aggregierte analytics_daily-Metriken werden in eine BigQuery-Tabelle geschrieben, die der Kunde besitzt und konfiguriert, unter Verwendung eines vom Kunden bereitgestellten Dienstkontos. Projekt, Datensatz, Tabelle und Standort liegen vollständig in der Hand des Kunden | Warehouse Export (BigQuery) - Scale-Plan | Kundengesteuert (die Übermittlung erfolgt unter der eigenen Vereinbarung des Kunden mit Google Cloud, nicht unter derjenigen von Zenovay) | aws.amazon.com/privacy/ |
Datenverarbeitungsstandards
Die Auftragsverarbeitungsbedingungen, die wir von diesen Anbietern akzeptieren, verpflichten sie:
- Geeignete technische und organisatorische Sicherheitsmassnahmen zum Schutz von Kundendaten aufrechtzuerhalten
- Daten nur gemäss den dokumentierten Weisungen von Zenovay zu verarbeiten
- Die geltenden Datenschutzgesetze einzuhalten, einschliesslich der Datenschutzvorschriften, CCPA und anderer relevanter Vorschriften
- Die Informationen bereitzustellen, die zum Nachweis der Einhaltung dieser Bedingungen erforderlich sind
- Zenovay unverzüglich über Datenpannen, Sicherheitsvorfälle oder unbefugte Zugriffe zu informieren
- Bei der Bearbeitung von Betroffenenanfragen zu helfen, einschliesslich Auskunfts-, Löschungs- und Datenübertragbarkeitsanfragen
- Jedem weiteren von ihnen beauftragten Unterauftragsverarbeiter gleichwertige Pflichten aufzuerlegen
- Kundendaten bei Beendigung der Dienste gemäss Weisung zurückzugeben oder zu löschen
Datenminimierung
Zenovay wendet bei der Analyse den Grundsatz der Datenminimierung an. Zielgruppen-Erkenntnisse wie die Verteilung von Sprache, Gebietsschema und Zeitzone werden ausschliesslich aus Anfrage-Metadaten abgeleitet, die der Browser des Besuchers ohnehin bei jeder Seitenanfrage übermittelt (der Accept-Language-Header und das Zeitzonensignal des CDN). Wir erheben hierfür keine zusätzlichen Daten, setzen dafür keine Cookies oder lokalen Speicher ein und verwenden keinen Drittanbieter zur demografischen Datenanreicherung. Diese Signale werden aggregiert verarbeitet, nicht zur Erstellung individueller Profile verwendet und überhaupt nicht abgeleitet, wenn ein Besucher ein Global Privacy Control-Signal sendet.
Internationale Datenübermittlungen
Seit dem 28. Oktober 2026 werden die primäre Datenbank von Zenovay und die zugehörigen Sicherungen von Oracle Cloud Infrastructure in der Schweiz (eu-zurich-1, Zürich) gehostet, wo die Analytik-Datenbank mit den Website-Besucherereignissen bereits seit dem 23. Oktober 2026 liegt. Die Europäische Kommission erkennt der Schweiz ein angemessenes Datenschutzniveau zu. Die schreibgeschützte Rückfallkopie der früheren primären Datenbank, die während der Migration bei Supabase, Inc. in der Europäischen Union (Frankfurt) aufbewahrt wurde, ist gelöscht. Seit dem 29. Oktober 2026 werden Dateien bei Backblaze B2 in der Europäischen Union (Amsterdam, Niederlande) gespeichert, und seit dem 31. Oktober 2026 wird dort auch eine verschlüsselte Kopie der nächtlichen Datenbanksicherungen abgelegt. Einige unserer übrigen Unterauftragsverarbeiter (z. B. Stripe, Resend, OpenAI über Cloudflare AI Gateway) sind in den USA ansässig, was Übermittlungen personenbezogener Daten ausserhalb des Europäischen Wirtschaftsraums (EWR) in Länder umfassen kann, die kein gleichwertiges Datenschutzniveau wie EWR-Länder bieten.
Für die Übermittlung personenbezogener Daten aus dem EWR in Länder ohne Angemessenheitsbeschluss gewährleisten wir die Einhaltung durch:
- EU-US-Datenschutzrahmen (DPF) / Schweiz-US-DPF: Für US-amerikanische Unterauftragsverarbeiter, die unter dem EU-US- und Schweiz-US-Datenschutzrahmen zertifiziert sind, verlassen wir uns auf den DPF als gültigen Übermittlungsmechanismus (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023).
- Standardvertragsklauseln (SCC): Wir verwenden von der Europäischen Kommission genehmigte Standardvertragsklauseln (Beschluss 2021/914) mit Unterauftragsverarbeitern, die nicht unter dem DPF zertifiziert sind, oder als zusätzliche Schutzmassnahme.
- Auftragsverarbeitungsverträge (AVV): Jeder Unterauftragsverarbeiter wird auf Grundlage schriftlicher Auftragsverarbeitungsbedingungen beauftragt, welche die vorstehend beschriebenen Schutzvorkehrungen enthalten.
- Angemessenheitsbeschlüsse: Soweit anwendbar, verlassen wir uns auf Angemessenheitsbeschlüsse der Europäischen Kommission für bestimmte Länder.
- Ergänzende Massnahmen (Schrems II): Verschlüsselung bei der Übertragung, Verschlüsselung im Ruhezustand durch den speichernden Anbieter, Zugriffskontrollen und Datenminimierung, sodass ein Anbieter ausserhalb des EWR nur das erhält, was seine konkrete Funktion erfordert.
Aktualisierungen dieser Liste
Zenovay kann Unterauftragsverarbeiter von Zeit zu Zeit hinzufügen, entfernen oder ersetzen, wenn sich unsere Geschäftsanforderungen ändern, Technologien sich weiterentwickeln oder um unsere Dienste zu verbessern.
Wenn wir Änderungen an unseren Unterauftragsverarbeitern vornehmen, werden wir:
- Diese Seite mit der aktüllen Liste der Unterauftragsverarbeiter aktualisieren
- Das Datum "Letzte Aktualisierung" oben auf dieser Seite aktualisieren
- Zahlende Kunden mindestens 30 Tage im Voraus über die Hinzufügung neuer Unterauftragsverarbeiter informieren
- Zahlende Kunden per E-Mail über wesentliche Änderungen bei Unterauftragsverarbeitern benachrichtigen
- Zahlenden Kunden das Recht einräumen, neuen Unterauftragsverarbeitern aus vernünftigen Datenschutzgründen zu widersprechen
Wir empfehlen, diese Seite regelmässig zu überprüfen, um über unsere aktüllen Unterauftragsverarbeiter informiert zu bleiben. Sie können sich auch für E-Mail-Benachrichtigungen über Aktualisierungen der Unterauftragsverarbeiter anmelden.
Ihre Rechte
Als Zenovay-Kunde haben Sie das Recht:
- Informationen über unsere Unterauftragsverarbeiter und deren Datenverarbeitungstätigkeiten anzufordern
- Einem neuen Unterauftragsverarbeiter aus vernünftigen Datenschutzgründen zu widersprechen, schriftlich und innerhalb von 10 Tagen nach unserer Mitteilung, wie in Abschnitt 5.3 des Auftragsverarbeitungsvertrags (AVV) festgelegt
- Zu erfragen, welche Datenschutzbestimmungen für einen bestimmten Unterauftragsverarbeiter gelten, und diese Bestimmungen oder eine Zusammenfassung davon zu erhalten, soweit es uns gestattet ist, sie weiterzugeben
- Unsere Einhaltung über den Prüfmechanismus in Abschnitt 8 des AVV zu überprüfen: Zertifizierungen und Berichte der Anbieter, ein jährlicher Fragebogen und, in Ausnahmefällen, eine Prüfung mit angemessener Ankündigung und auf Ihre Kosten
- Die betroffenen Dienste zu kündigen, wenn wir für einen Unterauftragsverarbeiter, dem Sie berechtigterweise widersprochen haben, keine wirtschaftlich vertretbare Alternative anbieten können
Enterprise-Kunden mit spezifischen Datenverarbeitungsanforderungen können uns kontaktieren, um individülle Datenverarbeitungsvereinbarungen zu besprechen.
Kontaktinformationen
Wenn Sie Fragen zu unseren Unterauftragsverarbeitern, Datenverarbeitungspraktiken haben oder sich für Benachrichtigungen über Aktualisierungen der Unterauftragsverarbeiter anmelden möchten, kontaktieren Sie uns bitte:
E-Mail: [email protected]
Support: [email protected]
Adresse: Zenovay, Wanderstrasse 19, 4054 Basel, Schweiz