Unterauftragsverarbeiter (Subprozessoren)
Verantwortlich für diese Liste (Auftragsverarbeiter):
Sven Schuster („pocket.page"), Kleestr. 21-23, 90461 Nürnberg, E-Mail: info@simplexo.de.
Diese Liste nennt die Unterauftragsverarbeiter, die im Rahmen des Betriebs der über pocket.page erstellten Websites eingesetzt werden. Abschnitt 3 nennt darüber hinaus die Dienste, die pocket.page auf seinen eigenen Flächen einsetzt; sie berühren die erstellten Kundenwebsites nicht. Stand: 2026-10-01.
1. Laufende Verarbeitung besucherbezogener Daten (veröffentlichte Websites)
Diese Dienste verarbeiten personenbezogene Daten von Besucher:innen der veröffentlichten Kundenwebsites.
| Dienstleister | Zweck / Leistung | Verarbeitete Datenarten | Sitz / Ort | Übermittlungsgrundlage |
|---|---|---|---|---|
| Cloudflare, Inc. | Hosting, Auslieferung (CDN), Datenbank (D1), Buchungsschalter (Durable Objects), Bild-Speicherung (R2), Rate-Limiting/Sitzungsspeicher (KV), Warteschlange (Queue) | Technische Verbindungsdaten (IP-Adresse, Datum/Uhrzeit, User-Agent), ausgelieferte Website-Inhalte, hochgeladene Bilder, gespeicherte Buchungsdaten (Name, E-Mail-Adresse, optional Telefonnummer, Anzahl, Angebot, Datum/Uhrzeit, gewählte Person, Status, persönlicher Link) | USA (globales Netzwerk) | EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und/oder EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| Resend, Inc. | Versand transaktionaler E-Mails: Weiterleitung von Kontaktformular-Nachrichten an den Seitenbetreiber, Anmelde-Codes, Wartelisten-Bestätigungen, Buchungs-E-Mails an Gäste und Kunden und Benachrichtigungen an den Betrieb | Name, E-Mail-Adresse und Nachrichteninhalt der anfragenden Person; E-Mail-Adressen von Kontoinhabern/Interessenten; Name, E-Mail-Adresse und Buchungsdaten (Anzahl, Angebot, Datum/Uhrzeit, gewählte Person, Status, persönlicher Link) der buchenden Gäste und Kunden | USA | EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln |
Datenminimierung im Betrieb:
- IP-Adressen werden ausschließlich als gesalzener Hash gespeichert; Reichweitenzählung erfolgt rein aggregiert ohne Personenbezug.
- Bei der Kontaktformular-Weiterleitung wird dem Seitenbetreiber die E-Mail-Adresse der anfragenden Person nicht offengelegt (maskierte Weiterleitungsadresse).
2. Verarbeitung von Kundeninhalten zur Erstellungszeit (nicht besucherbezogen)
Bei der Übernahme einer bestehenden Website ruft pocket.page deren öffentliche Inhalte und ausgewählte Unterseiten ab. Die Texte, Kontaktangaben, Leistungen, Preise, Öffnungszeiten, Namen und Beschreibungen des Teams sowie Links und Bildadressen werden an Cloudflare Workers AI übermittelt. Dort entsteht der neue Website-Entwurf. Die Bilddateien werden über Cloudflare verarbeitet und gespeichert. Zur Prüfung der Quelladressen wird Cloudflares DNS-Dienst genutzt.
Diese Dienste werden nur bei der Erstellung/Bearbeitung einer Website genutzt (KI-gestützte Bilderzeugung, das Überarbeiten der Websitetexte und das Erstellen neuer Seiten auf gesprochene oder getippte Anweisung des Betreibers, die Arbeit des KI-Agenten auf Anweisung des Betreibers samt seiner Recherche im Web und zu Suchergebnissen, das Prüfen des Suchvolumens von Suchbegriffen und das Geocoding der vom Betreiber eingegebenen Betriebsadresse beim Speichern). Sie verarbeiten keine personenbezogenen Daten von Website-Besucher:innen, sondern den eingegebenen Bild-Prompt, die Sprachaufnahme des Betreibers, die Texte der bearbeiteten Seite, die Antworten des Betreibers auf Rückfragen zu einer neuen Seite, das Gespräch mit dem KI-Agenten, die Arbeitsregeln der Website sowie die Anschrift des Betriebs.
Zu den Texten der bearbeiteten Seite gehören auch die Inhalte, die der Betreiber selbst eingetragen hat: Karteneinträge mit Preisen sowie Kundenstimmen samt der darin genannten Namen. Sie werden übermittelt, wenn der Betreiber die Texte der Seite überarbeiten lässt. Diese Inhalte stehen bereits auf der veröffentlichten Website.
Beim Überarbeiten der Texte und beim Erstellen einer neuen Seite wird zusätzlich der Kontext der gesamten Website übermittelt, damit die neuen Texte zum Betrieb passen, ohne dass der Betreiber ihn jedes Mal erneut diktieren muss: die Impressumsangaben (Firmenname, Anschrift, Telefon, E-Mail), die Öffnungszeiten, die aktiven Produkte samt Preisen sowie die Texte der übrigen veröffentlichten Seiten. Auch diese Inhalte stehen bereits auf der veröffentlichten Website.
Sofern der Betreiber ein Betriebsprofil gepflegt hat, gehen dessen Angaben ebenfalls mit — Gründungsgeschichte, Signature-Gerichte, Inhaberzitate samt Namen, Lieferanten und Auszeichnungen sowie die vom Betreiber gesetzten Sprach- und Werbefreigaben. Diese Angaben sind interne Stammdaten; sie stehen nicht zwingend auf der veröffentlichten Website und werden ausschließlich für das Überarbeiten der Texte und das Erstellen neuer Seiten übermittelt.
Der KI-Agent („Mit KI arbeiten“) arbeitet an der Website, wenn der Betreiber es ihm sagt. Er ändert Entwürfe, Seiten, Produkte, Angebote, Öffnungszeiten und den Standort und erzeugt Bilder. Was live geht oder Kunden erreicht, führt er erst aus, wenn der Betreiber es bestätigt. Er erhält dieselben Inhalte wie das Überarbeiten der Texte. Dazu kommen das Gespräch mit dem Betreiber samt den Arbeitsschritten des Agenten, die Beschreibungen der Bilder der Website und die Arbeitsregeln der Website, etwa „Kunden mit Du ansprechen“. Arbeitet er mit Terminen, erhält er Tag, Uhrzeit, Angebot und Status der Buchungen, aber keine Namen, E-Mail-Adressen oder Telefonnummern der Kunden. pocket.page speichert die Arbeitsregeln, solange die Website besteht. Tatsachen wie Preise, Öffnungszeiten, Anschrift oder Kontaktdaten gehören nicht hinein. Das Gespräch speichert pocket.page, damit der Agent auch bei geschlossener App weiterarbeiten kann. Es wird 30 Tage nach der letzten Nachricht gelöscht, spätestens mit der Website.
Lässt der Betreiber Suchbegriffe prüfen oder recherchiert der KI-Agent zu Suchergebnissen, gehen nur die Suchbegriffe und das Land an DataForSEO. Zurück kommen das Suchvolumen und die Trefferliste der Suchmaschine. Personenbezogene Daten gehen dabei nicht mit. Sucht der KI-Agent im Web, geht die Suchfrage über OpenRouter an Anthropic, das die Suche ausführt.
Die Sprachaufnahme wird ausschließlich zur Umwandlung in Text übermittelt. pocket.page speichert sie nicht: Sie besteht nur für die Dauer der Anfrage und wird weder abgelegt noch protokolliert.
| Dienstleister | Zweck | Verarbeitete Daten | Sitz |
|---|---|---|---|
| Cloudflare, Inc. | Website-Übernahme mit Workers AI, Prüfung der Quelladressen und Bildverarbeitung | Öffentliche Inhalte der übernommenen Website, Geschäftskontakte, Teamangaben, Links, Bildadressen und Bilder | USA (globales Netzwerk) |
| OpenRouter, Inc. | Vermittlung der KI-Anfragen (API-Gateway) | Eingegebene Geschäfts-/Websitetexte, Bild-Prompts, das Gespräch mit dem KI-Agenten, die Arbeitsregeln der Website und die Suchfragen der Websuche | USA |
| OpenAI, L.L.C. (über OpenRouter) | Bilderzeugung und Umwandlung der Sprachaufnahme in Text | Bild-Prompts, Sprachaufnahmen | USA |
| Anthropic PBC (über OpenRouter) | Ausformulieren des Bildmotivs, Benennung hochgeladener Bilder, Überarbeiten der Websitetexte und Erstellen neuer Seiten, dazu die Arbeit des KI-Agenten samt seiner Websuche | Bild-Prompts, hochgeladene Bilder, Texte der bearbeiteten Seite, der Kontext der übrigen Website (Impressumsangaben, Öffnungszeiten, Produkte, Texte der anderen veröffentlichten Seiten, Betriebsprofil), die Anweisung des Betreibers samt seiner Antworten auf Rückfragen, das Gespräch mit dem KI-Agenten, die Beschreibungen der Bilder der Website, die Arbeitsregeln der Website, Tag, Uhrzeit und Angebot gebuchter Termine ohne Kundendaten und die Suchfragen der Websuche | USA |
| OpenCage GmbH | Umwandlung der Anschrift in Koordinaten (Geocoding) beim Speichern | Anschrift des Betriebs | Deutschland |
| DataForSEO UAB | Prüfen des Suchvolumens von Suchbegriffen und Trefferlisten zu einem Suchbegriff beim Bearbeiten einer Website | Suchbegriffe und Land, keine personenbezogenen Daten | Litauen (EU) |
3. Verarbeitung auf den eigenen Flächen des Betreibers (nicht besucherbezogen)
Diese Dienste werden ausschließlich auf den eigenen Flächen des Betreibers genutzt — für die Recherche der Auffindbarkeit von Betrieben und für den Reviercheck, der auf diesen Flächen öffentlich angeboten wird. Sie verarbeiten im Kern Daten von Betrieben; beim Missbrauchsschutz des Reviercheck zusätzlich die IP-Adresse der Person, die ihn aufruft, und beim Bestätigungscode ihre Telefonnummer. Personenbezogene Daten von Besucher:innen der erstellten Kundenwebsites verarbeiten sie nicht — der Reviercheck ist technisch auf die eigenen Flächen des Betreibers beschränkt und kann auf einer Kundenwebsite nicht erscheinen. Verantwortlicher ist insoweit Sven Schuster selbst; diese Dienste sind daher nicht Gegenstand des AVV mit den Kunden.
| Dienstleister | Zweck | Verarbeitete Daten | Sitz | Übermittlungsgrundlage |
|---|---|---|---|---|
| DataForSEO UAB | Trefferliste zu einem Suchbegriff an mehreren Standorten | Suchbegriff (im Ausnahmefall der Name des gemessenen Betriebs) und Koordinaten von bis zu 21 Betrieben — keine Kontaktdaten | Litauen (EU) | Keine Drittlandübermittlung |
| Twilio Inc. | Versand der SMS mit dem Bestätigungscode, mit dem eine Telefonnummer im Reviercheck geprüft wird (DEC-341) | Telefonnummer und der sechsstellige Code — sonst nichts | USA | Art. 44 ff. DSGVO: EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln |
| Cloudflare, Inc. | Turnstile — Prüfung, ob eine Messung im Reviercheck von einem Menschen angefordert wird, bevor sie ausgeführt wird | IP-Adresse und technische Merkmale des Aufrufs; keine Werbe-Cookies, kein Profil | USA | Art. 44 ff. DSGVO: EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln |
| Google Ireland Limited / Google LLC | Google Places API (Betriebsprofil, Anschrift, Koordinaten) und Maps Static API (Kartenausschnitt: Mittelpunkt und Zoomstufe; die Standorte zeichnen wir selbst in die Seite) | Name und Ort des Betriebs | Irland / USA | Art. 44 ff. DSGVO: EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln |
Änderungen
Wird ein Unterauftragsverarbeiter aus Abschnitt 1 neu hinzugezogen oder ersetzt, wird das den betroffenen Verantwortlichen mindestens 4 Wochen vor Wirksamwerden mitgeteilt; ein Widerspruchsrecht besteht nach Maßgabe des AVV (§ 6) innerhalb von 14 Tagen. Die Berichtigung einer unzutreffenden Angabe — etwa ein falsch benannter Dienstleister, der die Daten ohnehin schon verarbeitet — wird dagegen sofort wirksam: sie zieht keinen neuen Empfänger hinzu, sondern beschreibt den tatsächlichen Zustand richtig.