1. Überblick
ArtInStack („wir“, „uns“) betreibt die ArtInStack-Plattform (die „Dienste“). Zur Erbringung der Dienste beauftragen wir Drittunternehmen („Unterauftragsverarbeiter“), die personenbezogene Daten in unserem Auftrag verarbeiten.
Diese Seite:
- Listet die Unterauftragsverarbeiter auf, die wir zum Betrieb der Plattform einsetzen. Bei personenbezogenen Daten der Endkunden von Creators handeln wir als Auftragsverarbeiter nach Weisung des Creators, und diese Unternehmen handeln als unsere Unterauftragsverarbeiter. Bei Konto- und Abrechnungsdaten der Creators selbst handeln wir als Verantwortlicher, und diese Unternehmen sind unsere Auftragsverarbeiter bzw. Dienstleister.
- Ergänzt unsere Datenschutzrichtlinie.
- Listet nicht Tools auf, die ein Creator selbst auf seiner Website aktiviert (z. B. eigene Werbenetzwerke oder Analysen). Dafür bleiben Creators verantwortlich. Siehe unten unter Creator-aktivierte Tools.
„Creator“ und „Endkunde“ haben die in unseren Nutzungsbedingungen festgelegte Bedeutung. Für Geschäftskunden, die vertragliche Auftragsverarbeitungsbedingungen benötigen, siehe unseren Auftragsverarbeitungsvertrag (DPA).
2. Wie wir Unterauftragsverarbeiter einsetzen
Wir beauftragen Unterauftragsverarbeiter für:
- Hosting von Anwendungen, Datenbanken und Backups;
- Speicherung und Auslieferung von Medien (Bilder, Video, Dateien);
- Zahlungsabwicklung, Steuerberechnung und Auszahlungen;
- Versand transaktionaler E-Mails;
- Versand von Marketing- und Kampagnen-E-Mails (E-Mail-Center);
- Schutz vor Missbrauch und Überwachung der Zuverlässigkeit;
- Erfüllung von Print-on-Demand-Bestellungen, wenn Creators integrierte Drucklabore nutzen;
- Bereitstellung von Kartenkacheln und Geocoding für Standort- und Impact-Funktionen; und
- Messung der Nutzung unserer eigenen Marketing-Website.
Wir verlangen von Unterauftragsverarbeitern, personenbezogene Daten unter schriftlichen Vereinbarungen zu schützen, die ihrer Rolle angemessen sind (z. B. Datenverarbeitungsbedingungen und Sicherheitsanforderungen). Werden personenbezogene Daten außerhalb des EWR oder des Vereinigten Königreichs übermittelt, stützen wir uns auf Standardvertragsklauseln (und ggf. einen UK-Zusatz), wie in unserer Datenschutzrichtlinie und unserem DPA näher beschrieben.
3. Aktuelle Unterauftragsverarbeiter
Diese Liste ist vollständig zum als Zuletzt aktualisiert auf dieser Seite angegebenen Datum. Standorte sind indikativ: Viele Anbieter verarbeiten in mehreren Regionen und nutzen eigene Unterauftragsverarbeiter. Aktuelle Details finden Sie in der Dokumentation des jeweiligen Anbieters.
| Unterauftragsverarbeiter | Zweck | Typischerweise verarbeitete Daten | Standort | Datenschutzinformationen |
|---|---|---|---|---|
| Google Cloud (Google LLC) | Anwendungsruntime, PostgreSQL-Datenbank (Cloud SQL), Backups, Networking, Secrets. Unser Content-Management-System (Directus) wird selbst gehostet auf dieser Infrastruktur und ist kein eigener Unterauftragsverarbeiter. | Kontodaten, Inhalte, Einstellungen, Bestellungen und Protokolle der Plattform | Iowa, Vereinigte Staaten (us-central1) | policies.google.com/privacy |
| Cloudflare, Inc. | CDN, DNS, DDoS-Schutz, Edge-Caching, Bildskalierung, SSL für Custom Domains, Turnstile-Bot-Schutz, Objektspeicher (R2) für Medien und Backups | IP-Adresse, Anfrageprotokolle, Geräte-/Browsersignale, gespeicherte Dateien und Metadaten | Vereinigte Staaten; globales Edge-Netzwerk. R2-Produktionsbucket-Region: Eastern North America (ENAM) | cloudflare.com/privacypolicy |
| BunnyWay d.o.o. (Bunny.net) | Video-Hosting und Streaming (Bunny Stream) sowie CDN-Auslieferung verwandter Assets | Videodateien, Wiedergabe-Metadaten, Betrachter-IP und Protokolle | Europa — Primärspeicher Frankfurt (DE); globales CDN-Edge | bunny.net/privacy |
| Stripe, Inc. | Abonnementabrechnung, Checkout, Steuerberechnung (Stripe Tax), Stripe Connect für Creator-Verkäufe und Auszahlungen, Betrugsprävention und Compliance | Name, E-Mail, Rechnungsadresse, Zahlungsmethoden-Tokens, Transaktions- und Steuermetadaten, Connect-Konto-IDs | Vereinigte Staaten; ggf. globale Verarbeitung | stripe.com/privacy |
| Resend, Inc. | Transaktionale E-Mail (Anmeldung, Quittungen, Einladungen, Benachrichtigungen) | E-Mail-Adresse, Nachrichteninhalt, Zustellereignisse | Vereinigte Staaten | resend.com/legal/privacy-policy |
| Amazon Web Services, Inc. (Amazon SES) | Marketing- und Kampagnen-E-Mail (E-Mail-Center): Massenversand; Bounce- und Complaint-Handling | E-Mail-Adresse, Nachrichteninhalt, Zustellereignisse | Vereinigte Staaten — N. Virginia (us-east-1) | aws.amazon.com/privacy |
| Functional Software, Inc. (Sentry) | Fehler- und Leistungsüberwachung | IP-Adresse, Geräte-/Browserdaten, Stacktraces, Benutzer-IDs soweit an Fehler angehängt | Vereinigte Staaten | sentry.io/privacy |
| Google LLC / Google Ireland Limited (Google Tag Manager und Google Analytics 4) | Nutzungsmessung nur auf unserer Marketing-Website und nur nach Einwilligung, soweit erforderlich | Online-Kennungen, Geräte- und Browserdaten, aufgerufene Seiten, ungefähre Lage | Vereinigte Staaten; global | policies.google.com/privacy |
| Prodigi | Print-on-Demand-Produktion und Versand, wenn ein Creator Prodigi wählt (Standard-Kontoanmeldung) | Lieferadresse, Bestelldetails, Druckdateien | UK / EU / US je nach Bestellrouting | prodigi.com/privacy-policy |
| Gelato | Print-on-Demand-Produktion und Versand, wenn ein Creator Gelato wählt (Standard-Kontoanmeldung) | Lieferadresse, Bestelldetails, Druckdateien | EU / global je nach Bestellrouting | gelato.com/privacy |
| Stadia Maps, Inc. | Basiskartenkacheln für die Impact Map und andere Standortvisualisierungen | Kartenausschnitt-Anfragen, IP-Adresse und Anfragemetadaten | Vereinigte Staaten; ggf. regionale Endpunkte | stadiamaps.com/privacy/privacy-policy |
| Mapbox, Inc. | Ortssuche und Geocoding für Standortfunktionen | Suchanfragen, ungefähre Koordinaten, IP-Adresse und Anfragemetadaten | Vereinigte Staaten; ggf. globale Verarbeitung | mapbox.com/legal/privacy |
Funktionsabhängige Unterauftragsverarbeiter
| Anbieter | Wann genutzt | Hinweise |
|---|---|---|
| Global Biodiversity Information Facility (GBIF) | Naturschutzfunktionen: Vorschläge zu Artnamen | Unsere Server fragen GBIF nach Taxonnamen und -schlüsseln ab. Es werden keine Endkunden-Kontaktdaten gesendet. |
Creator-aktivierte Tools
Creators können Folgendes auf ihren eigenen Websites oder Workspaces aktivieren. Der Creator entscheidet über Einsatz und Umfang und ist für die empfangenen Daten verantwortlich. Wir sind nicht deren Auftragsverarbeiter für die Publikumsdaten des Creators.
- Werbenetzwerke und Embeds: Google AdSense, Mediavine, Carbon und ähnliche Anbieter auf berechtigten Creator-Sites.
- Dataset-Veröffentlichung bei GBIF: ein Creator oder seine Institution kann Datensätze unter der eigenen endorsed GBIF-Publisher-Beziehung veröffentlichen. GBIF ist dann ein vom Creator gewähltes Ziel. Siehe gbif.org/terms.
- Übersetzung und KI (BYOK): stellt ein Creator unter Einstellungen → Integrationen → Übersetzung einen eigenen API-Schlüssel für DeepL, Google Gemini oder OpenAI bereit, wird zur Übersetzung gewählter Inhalt an diesen Anbieter unter dem Konto und den Bedingungen des Creators gesendet. Siehe Mehrsprachige Website-Sprachen.
4. Creator-Handel und Erfüllung
Wenn ein Endkunde auf der Website eines Creators kauft:
- Stripe, einschließlich Stripe Connect, verarbeitet Zahlungs- und Steuerdaten gemäß der Rolle von Stripe in dieser Transaktion.
- Prodigi, Gelato oder ein anderes integriertes Drucklabor erhält die für die Erfüllung erforderlichen Produktions- und Versanddaten.
In diesen Abläufen ist der Creator in der Regel der Verantwortliche für die personenbezogenen Daten des Endkunden, und wir handeln als Auftragsverarbeiter des Creators gemäß unserem DPA.
5. Änderungen an dieser Liste
Wir können Unterauftragsverarbeiter hinzufügen oder ersetzen, wenn sich die Dienste weiterentwickeln. Bevor ein neuer Unterauftragsverarbeiter personenbezogene Daten in unserem Auftrag als Plattformanbieter verarbeitet, werden wir:
- diese Seite aktualisieren; und
- Kontoinhabern mindestens 30 Tage vorher per E-Mail oder Hinweis im Dashboard Mitteilung machen.
Um über Änderungen informiert zu werden, senden Sie eine E-Mail an [email protected] mit dem Betreff Subprocessor updates.
Wenn Sie einem neuen Unterauftragsverarbeiter aus berechtigten datenschutzrechtlichen Gründen widersprechen, schreiben Sie innerhalb von 30 Tagen nach der Mitteilung an [email protected]. Wir werden in gutem Glauben mit Ihnen an einer Lösung arbeiten, die eine Alternative oder die Einstellung der betroffenen Funktion umfassen kann. Kunden mit unterzeichnetem DPA können abweichende Mitteilungs- und Widerspruchsrechte haben, wie in diesem Vertrag vorgesehen.
6. Sicherheit und Due Diligence
Wir bewerten Unterauftragsverarbeiter hinsichtlich Sicherheits- und Datenschutzpraktiken, die den verarbeiteten Daten angemessen sind, einschließlich vertraglicher Verpflichtungen, Zugriffsbeschränkungen und Ausrichtung an unserem Sicherheitsprogramm. Einen Überblick über unsere Infrastruktur finden Sie unter Platform foundation. Dieser Überblick ersetzt keinen Kunden-Sicherheitsfragebogen und keinen unterzeichneten DPA.
7. Fragen
DPA und Business-Compliance: [email protected]
Fragen zu Unterauftragsverarbeitern / Datenschutz: [email protected]
Änderungshistorie
- 2026-10-11: Überarbeitete Liste. Directus als Unterauftragsverarbeiter entfernt (selbst gehostet; unter Google Cloud beschrieben). Google Tag Manager und Google Analytics 4 (Marketing-Website), Stripe Tax, Bunny Stream/CDN mit Primärspeicher Frankfurt, Cloudflare R2 ENAM, Amazon SES us-east-1, Creator-aktivierte Werbenetzwerke (Mediavine, Carbon) und BYOK-Übersetzungsanbieter hinzugefügt. Mitteilung und Widerspruch über [email protected] klargestellt.