Transparenz · Art. 28 DSGVO
Subprozessoren
& Drittland-Transfers
Vollständige Liste aller Dienstleister, die im Rahmen unserer Produkte personenbezogene Daten verarbeiten. Für B2B-Einkäufer, Compliance-Verantwortliche und neugierige Kunden.
Stand: 03. November 2026
Kern-Daten in Deutschland
Ihre produktiven Mandanten- und Mitarbeiterdaten (VVT, AVV, TOMs, Datenpannen, DSAR, Assessments, Schulungsfortschritt) werden auf einem Server der Hetzner Online GmbH im ISO-27001-zertifizierten Rechenzentrum Nürnberg verarbeitet. Die Übertragung ist per TLS verschlüsselt. Sicherungen werden clientseitig verschlüsselt, bevor sie den Server verlassen, und auf einer Hetzner Storage Box (Deutschland) und bei Cloudflare R2 (EU) abgelegt. Keine Übermittlung dieser Daten in die USA.
Rand-Services mit klarer Rechtsgrundlage
Für E-Mail-Versand, Zahlungen, KI-Features und CDN nutzen wir bewusst wenige, etablierte Dienstleister. Alle US-Anbieter sind nach dem EU-US Data Privacy Framework (DPF) zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Standardvertragsklauseln + Transfer Impact Assessment greifen als Fallback.
Vollständige Liste
Hetzner Online GmbH
Kern-Infrastruktur- Sitz
- Gunzenhausen, DE (Rechenzentren Falkenstein + Nürnberg)
- Betroffene Produkte
- alle (Hugo DSB, Hugo ISMS, Hugo Shield, Hugo Check)
- Rolle
- Hosting · Rechenzentrum · Server- und Storage-Infrastruktur
- Rechtsgrundlage (primär)
- EU-intern – kein Drittland-Transfer
- Fallback
- —
- Zertifizierungen
- ISO 27001, ISO 9001, ISO 14001, DIN EN 50600
- Hinweis
- Unsere gesamte Primär-Datenhaltung (Postgres, Storage, Self-Hosted Supabase) läuft auf einem Hetzner-Server in Nürnberg. Die Sicherungen werden clientseitig verschlüsselt, bevor sie den Server verlassen, und liegen auf einer Hetzner Storage Box in Deutschland.
Resend Inc.
Rand-Service- Sitz
- San Francisco, USA
- Betroffene Produkte
- alle
- Rolle
- Transaktions-E-Mails (Signup-Bestätigung, Rechnungen, System-Benachrichtigungen)
- Rechtsgrundlage (primär)
- EU-US Data Privacy Framework (DPF) – Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023
- Fallback
- Standardvertragsklauseln SCC 2021/914 + Transfer Impact Assessment
- Zertifizierungen
- DPF-zertifiziert, SOC 2 Type II
- Hinweis
- Versendete E-Mails enthalten keine produktiven Kundendaten außerhalb des E-Mail-Inhalts selbst.
Brevo (Sendinblue SAS)
Rand-Service- Sitz
- Paris, FR
- Betroffene Produkte
- alle
- Rolle
- CRM, Meetings (Online-Terminbuchung), Marketing- und Onboarding-Mails
- Rechtsgrundlage (primär)
- EU-intern – kein Drittland-Transfer
- Fallback
- —
- Zertifizierungen
- ISO 27001, Privacy Shield (historisch), GDPR-Compliance
- Hinweis
- Marketing-Kontakte (newsletter.fraghugo.de) und Meeting-Bookings via meet.brevo.com/fraghugo.
Stripe Inc.
Rand-Service- Sitz
- San Francisco, USA
- Betroffene Produkte
- alle
- Rolle
- Zahlungsabwicklung, Rechnungsdaten, Subscription-Management
- Rechtsgrundlage (primär)
- EU-US Data Privacy Framework (DPF)
- Fallback
- SCC 2021/914 + TIA
- Zertifizierungen
- DPF-zertifiziert, PCI-DSS Level 1, SOC 1 + SOC 2
- Hinweis
- Rechnungsdaten werden aus § 257 HGB / § 147 AO für 10 Jahre bei Stripe aufbewahrt. Kreditkarten- und Bankdaten sehen wir nie im Klartext.
OpenAI, L.L.C.
Rand-Service- Sitz
- San Francisco, USA
- Betroffene Produkte
- Hugo DSB Pro, Hugo DSB Premium, Hugo ISMS Pro, Hugo ISMS Enterprise, Bestandsaufnahme (alle DSB-Tarife), Hugo Learn Programm (Sprachsynthese)
- Rolle
- Sprachmodelle für alle KI-Funktionen der Plattform (u. a. VVT-, TOM- und Dokumentenentwürfe, Datenschutzerklärung, Antwortentwürfe für Betroffenenanfragen, Assistent „Frag Hugo“, Bestandsaufnahme, Schulungs- und Phishing-Baukasten, Sicherheitsfragebögen, KI-Teile der Website-Prüfung) sowie Sprachsynthese für Schulungsinhalte (Anruf-Drills). Die vollständige Liste mit den je Funktion übermittelten Daten steht in unserer Stellungnahme „KI-Funktionen und Subprozessoren“ (app.fraghugo.de/dokumente/frag-hugo-ki-und-subprozessoren.pdf). Alle KI-Funktionen lassen sich je Organisation abschalten.
- Rechtsgrundlage (primär)
- EU-US Data Privacy Framework (DPF) + Data Processing Addendum (DPA) nach Art. 28 DSGVO
- Fallback
- SCC 2021/914 + TIA
- Zertifizierungen
- DPF-zertifiziert
- Hinweis
- Wir nutzen ausschließlich die OpenAI API Platform, nicht ChatGPT Consumer. Inputs werden laut OpenAI API Data Usage Policy NICHT zum Training von Modellen genutzt (Default seit März 2023). Speicherung maximal 30 Tage zur Missbrauchs-Erkennung, danach Löschung. Das OpenAI DPA ist unterzeichnet. Bei der Bestandsaufnahme gehen die Antworten und die Texte hochgeladener Unterlagen an die Auswertung; Mitarbeiterlisten werden nicht an OpenAI übermittelt. Für die Anruf-Drills wird ausschließlich Text übermittelt, den unsere Redaktion geschrieben hat — keine Beschäftigtendaten, keine Aufnahme einer realen Stimme. Erzeugt werden generische Stimmen; ein Stimmklon einer realen Person findet nicht statt.
Tavily (AlphaAI Technologies Inc.)
Rand-Service- Sitz
- USA
- Betroffene Produkte
- Hugo Learn, Hugo Safe (nur beim KI-Entwurf eigener Schulungen)
- Rolle
- Websuche nach Rechtsgrundlagen und Quellen beim Entwurf eigener Schulungen im Schulungs-Baukasten
- Rechtsgrundlage (primär)
- Keine Auftragsverarbeitung vorgesehen — übermittelt wird nur ein Suchbegriff
- Fallback
- —
- Zertifizierungen
- —
- Hinweis
- Übermittelt wird ausschließlich der Suchbegriff aus Thema und Zielgruppe der Schulung. Keine Namen, kein Schulungsmaterial, keine Kennung des Kunden. Bitte im Thema keine Personen nennen. Bei abgeschalteten KI-Funktionen findet keine Suche statt.
Open Source Vulnerabilities (OSV) — Google LLC
Rand-Service- Sitz
- Mountain View, USA
- Betroffene Produkte
- Hugo Hersteller (nur bei gesonderter Freischaltung)
- Rolle
- Tägliche Suche nach bekannten Schwachstellen in den Komponenten einer Softwarestückliste
- Rechtsgrundlage (primär)
- Keine Auftragsverarbeitung — es werden keine personenbezogenen Daten übermittelt
- Fallback
- entfällt
- Zertifizierungen
- öffentliche Schnittstelle ohne Anmeldung (api.osv.dev)
- Hinweis
- Übermittelt werden ausschließlich Paketbezeichner und Versionsnummern öffentlich verfügbarer Softwarekomponenten (z. B. „pkg:npm/lodash“ mit Versionsnummer). Kein Kundenname, kein Produktname, keine Kennung der Organisation, keine personenbezogenen Daten. Die Zuordnung des Ergebnisses zum Kunden geschieht ausschließlich bei uns. Die Funktion lässt sich je Kunde abschalten; ohne Freischaltung findet kein Abgleich statt.
Cloudflare, Inc.
Rand-Service- Sitz
- San Francisco, USA
- Betroffene Produkte
- alle
- Rolle
- CDN, DNS, DDoS-Schutz, Web Application Firewall · verschlüsselte Zweitsicherung (R2, EU)
- Rechtsgrundlage (primär)
- EU-US Data Privacy Framework (DPF)
- Fallback
- SCC 2021/914 + TIA
- Zertifizierungen
- DPF-zertifiziert, ISO 27001, SOC 2 Type II
- Hinweis
- Cloudflare sieht HTTP-Metadaten (Hostname, Pfad, IP). Produktive Nutzlasten sind TLS-verschlüsselt. Für die Zweitsicherung in Cloudflare R2 (Speicherort EU) erhält Cloudflare ausschließlich Sicherungen, die wir vorher clientseitig verschlüsselt haben; den Schlüssel hat Cloudflare nicht. Der Server für KI-Assistenten (mcp.fraghugo.de) läuft als Cloudflare Worker; Inhalte werden dort nur durchgeleitet und nicht gespeichert.
Ausdrücklich NICHT Subprozessor
Diese Dienste erfassen keine produktiven Kundendaten und sind daher formal keine Subprozessoren im Sinne von Art. 28 DSGVO. Wir listen sie trotzdem, damit Sie vollständige Transparenz haben.
Microsoft Clarity
Läuft ausschließlich auf den Marketing-Seiten (fraghugo.de) mit explizitem Opt-in via Cookie-Banner. Erfasst KEINE produktiven Kundendaten aus den Hugo-Apps (DSB, Shield, Check).
Matomo Analytics
Self-hosted auf eigenem Server (metomo.it-support-hamburg-24x7.de), DSGVO-konform, keine Daten-Übermittlung an Dritte.
AVV & Änderungshinweise
Mit jedem zahlenden Kunden schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab. Den Mustervertrag können Sie als PDF herunterladen. Der AVV enthält die vollständige Liste dieser Subprozessoren, die Technisch-Organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO sowie die Drittland-Transfer-Regelungen nach Kapitel V DSGVO.
Bei den Anbietern, die Sie selbst einsetzen, erfahren Sie Änderungen an deren Liste meist nicht per Brief, sondern als stille Aktualisierung einer Webseite. Unser Subprozessor-Monitor prüft die Listen der großen Anbieter täglich und zeigt jede Änderung mit Datum. Kostenlos, auch ohne Kundenbeziehung zu uns.
Fragen zu einem konkreten Subprozessor, Transfer Impact Assessment, oder unserem DSB Nils Oehmichen? info@fraghugo.de – Antwort innerhalb von 24 Stunden.
