Trust Center
Sub-Prozessoren
Stand: 21. Oktober 2026
Aveldra setzt für klar abgegrenzte Zwecke die folgenden Auftragsverarbeiter (Art. 28 DSGVO) ein. Anwendung und Datenbank laufen in Frankfurt (Fly.io, Region fra); einzelne Dienste verarbeiten Daten auch in den USA – abgesichert über EU-Standardvertragsklauseln (SCC) bzw. das EU-US Data Privacy Framework (DPF). Fly.io ist ebenfalls ein US-Anbieter; Anwendung und Datenbank liegen dort in der Region Frankfurt.
- Fly.io, Inc.Anwendung & Datenbank (Compute, PostgreSQL)Sicherheits-Metadaten, Konto-/AnmeldedatenFrankfurt (EU)SCC / DPF
- Backblaze, Inc.Verschlüsselte Off-Site-Datenbank-BackupsClient-seitig AES-256-verschlüsseltes DB-Backup (kein Klartext-Zugriff)EU (Amsterdam)SCC / DPF
- Vercel Inc.Frontend-Hosting (App & Website)Technische Zugriffsdaten (keine Sicherheits-Metadaten)EU / USASCC / DPF
- Stripe Payments Europe Ltd.Zahlungsabwicklung & Abo-VerwaltungAbrechnungsdaten (keine Sicherheits-Metadaten)EU / USASCC / DPF
- Resend, Inc.Transaktions- & Benachrichtigungs-E-MailsEmpfänger-Adresse, Nachrichteninhalt der BenachrichtigungUSASCC / DPF
- Sentry (Functional Software, Inc.)Fehler-Monitoring (technische Diagnose)Technische Fehler-/DiagnosedatenEU / USASCC / DPF
- GitHub, Inc.Quellcode-Hosting und CI; täglicher Datenbank-Backup-LaufDer Dump wird auf GitHub-Actions-Runnern erzeugt und vor dem Speichern AES-256-verschlüsselt; verschlüsselte Backup-Artefakte 90 TageUSASCC / DPF
Microsoft ist kein Sub-Prozessor im engeren Sinne: Die Microsoft-365-Daten stammen aus deinem eigenen Tenant; Aveldra liest sie über die Microsoft Graph API. Verarbeitet werden Metadaten wie App-, Anmelde- und Regel-Metadaten und Kontonamen – niemals E-Mail- oder Dateiinhalte.
Änderungen an dieser Liste geben wir mit aktualisiertem Datum hier bekannt. Den Auftragsverarbeitungsvertrag (AVV/DPA) kannst du hier einsehen; die unterschriftsfertige Ausfertigung erhältst du auf Anfrage.