Liste der Auftragsverarbeiter

Diese Seite benennt die Auftragsverarbeiter (Sub-Prozessoren), die die Silverfriend GmbH für SilverFriend, unseren KI-Begleiter am Telefon, einsetzt. Die Aufstellung dient der Transparenz gemäß Art. 28 DSGVO und ergänzt unsere Datenschutzerklärung.

Stand: 5. Oktober 2026
Version: 1.6

1. Verantwortlicher

Silverfriend GmbH
Döringstraße 6, 10245 Berlin
E-Mail: datenschutz@silverfriend.de

2. Übersicht

Alle genannten Auftragsverarbeiter sind durch einen Vertrag nach Art. 28 DSGVO gebunden. Datenübermittlungen in Drittländer erfolgen, soweit erforderlich, auf Grundlage der EU-Standardvertragsklauseln (Modul 2, Juni 2021) zuzüglich ergänzender technischer Schutzmaßnahmen (Verschlüsselung mit kundenverwalteten Schlüsseln, TLS 1.2+, Datenresidenz in der EU, Protokollierung).

3. Aktuelle Auftragsverarbeiter

Rolle	Unternehmen	Sitz	Datenkategorien	Rechtsinstrument
Cloud-Hosting und Datenverarbeitung (Hosting, Datenbank, Sprachmodell)	Amazon Web Services EMEA SARL	38 Avenue John F. Kennedy, L-1855 Luxemburg (EU-Rechenzentren: Deutschland und nordische Länder; Speicherung ausschließlich in Deutschland); US-Mutter: Amazon.com, Inc.	Kontodaten, Sprachverarbeitung in Echtzeit; Gesprächsprotokoll (14 Tage), Erinnerungs-Notizen, Lebens-Chronik, Anruf-Metadaten; Fragen an den KI-Begleiter für Veranstaltungen auf der Website (Freitext und Filter — nicht gespeichert; technisches Protokoll ohne Wortlaut 90 Tage)	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2)
Telefonie (ein- und ausgehende Anrufe)	Twilio Ireland Limited	25-28 North Wall Quay, Dublin 1, Irland; US-Mutter: Twilio Inc.	Telefonnummer, Anrufzeitpunkt, Anrufstatus, Sprachstrom während des Anrufs (keine Speicherung)	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2)
Push-Benachrichtigungen (App)	Google Ireland Limited (Firebase Cloud Messaging)	Gordon House, Barrow Street, Dublin 4, Irland; US-Mutter: Google LLC	Push-Token (Gerätekennung), Benachrichtigungsart (ohne Inhalt)	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2)
Reichweitenmessung der Website und Tag-Verwaltung — nur nach Statistik- bzw. Marketing-Einwilligung	Google Ireland Limited (Google Analytics 4, Google Tag Manager)	Gordon House, Barrow Street, Dublin 4, Irland; US-Mutter: Google LLC	Pseudonyme Besuchs-Cookies (`_ga`, `_ga_*`), IP-Adresse (nach Angaben von Google bei Besuchen aus der EU nur zur ungefähren Standortbestimmung genutzt und nicht gespeichert), User-Agent, besuchte Seite (ohne Kampagnen- und sonstige Parameter), Seiten- und Ereignisdaten. Vor einer Einwilligung und nach „Nur notwendige" wird nichts an Google übertragen; Google Analytics und Google Tag Manager werden erst nach der Einwilligung geladen.	AVV nach Art. 28 DSGVO (Google Ads Data Processing Terms) + EU-Standardvertragsklauseln (Modul 2) + EU-US Data Privacy Framework
App-Nutzungsanalyse — nur nach Einwilligung in der App	PostHog, Inc.	USA; Verarbeitung und Speicherung ausschließlich in der EU (Deutschland)	Pseudonyme Nutzerkennung, aufgerufene App-Bildschirme, Funktionsereignisse, Gerätemodell, Betriebssystem- und App-Version, Sprache. Keine Gesprächsinhalte, keine Namen, keine Telefonnummern, keine Freitexte, keine Standortdaten.	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2) + EU-US Data Privacy Framework
Absturzberichte der App — nur nach Einwilligung in der App	Google Ireland Limited (Firebase Crashlytics)	Gordon House, Barrow Street, Dublin 4, Irland; US-Mutter: Google LLC	Technischer Fehlerbericht, Zeitpunkt des Absturzes, Gerätemodell, Betriebssystem- und App-Version, Sprache, Abonnement-Status, pseudonyme Nutzerkennung. Keine Gesprächsinhalte und keine Klardaten.	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2) + EU-US Data Privacy Framework
Blog-Auslieferung, Warteliste, Subscriber-CRM, E-Mail-Kommunikation sowie Website-Tracking — Website-Tracking nur nach Marketing-Einwilligung (ausschließlich Angehörigen-Daten)	HubSpot Ireland Limited	2nd Floor 30 North Wall Quay, Dublin 1, Irland; US-Mutter: HubSpot, Inc.	Kontaktdaten (Name, E-Mail, Telefon), Formular-Einträge, UTM- und Kampagnenparameter, pseudonymer Besuchs-Cookie	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2)
Werbeanzeigen-Tracking und Conversion-Messung (Facebook/Instagram) — nur nach Marketing-Einwilligung	Meta Platforms Ireland Ltd.	4 Grand Canal Square, Dublin 2, Irland; US-Mutter: Meta Platforms, Inc.	Pseudonyme Besuchs-Cookies (`_fbp`, `_fbc`), IP-Adresse, User-Agent, besuchte Seite (ohne persönliche Angaben in der Adresse), Klick- und Conversion-Ereignisse	Kein Auftragsverarbeiter: Für die Erhebung und Übermittlung über das Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO; Zusatzvereinbarung für Verantwortliche in den Meta-Nutzungsbedingungen für Business-Tools), für die weitere Verarbeitung ist Meta allein verantwortlich. Übermittlung in die USA: EU-US Data Privacy Framework sowie die von Meta gestellten EU-Standardvertragsklauseln
Abonnementverwaltung (sofern aktiviert)	RevenueCat, Inc.	333 Bush Street, San Francisco, CA 94104, USA	Abonnementstatus, Kauftransaktions-IDs (keine Zahlungsdaten)	AVV nach Art. 28 DSGVO + EU-Standardvertragsklauseln (Modul 2)
Steuerberatung und Buchhaltung	Noch zu benennende Steuerkanzlei in Deutschland	Deutschland	Rechnungen, Zahlungsdaten im Rahmen gesetzlicher Aufbewahrungspflichten	AVV nach Art. 28 DSGVO

4. Drittlandtransfers

Die primäre Verarbeitung erfolgt in der Europäischen Union. Soweit US-Mutterkonzerne der genannten Dienstleister im Rahmen administrativer Steuerung Zugriff erhalten, gelten zusätzlich das EU-US-Datenschutzrahmenabkommen (DPF) für zertifizierte Empfänger sowie die EU-Standardvertragsklauseln. Ein aktuelles Transfer Impact Assessment (TIA) kann beim Datenschutzbeauftragten angefordert werden.

5. Änderungen dieser Liste

Bei wesentlichen Änderungen (neuer Auftragsverarbeiter, Wechsel eines bestehenden) informieren wir aktive Kundinnen und Kunden mindestens 14 Tage vor Wirksamwerden per E-Mail oder App-Banner. Eine Änderungshistorie befindet sich am Ende dieser Seite, sobald Änderungen eintreten.

6. Änderungshistorie

Datum	Version	Wesentliche Änderungen
2026-04-14	1.0	Erstveröffentlichung (pre-launch)
2026-05-08	1.1	Meta Platforms Ireland Ltd. (Meta Pixel — Facebook/Instagram-Werbeanzeigen) als Auftragsverarbeiter aufgenommen; Verarbeitung erfolgt ausschließlich nach Marketing-Einwilligung
2026-08-24	1.2	Drei Auftragsverarbeiter ergänzt: Google Ireland Limited (Google Analytics 4 und Google Tag Manager — Reichweitenmessung der Website, nur nach Einwilligung), PostHog, Inc. (Nutzungsanalyse der Mobile-App, EU-Speicherung in Frankfurt, nur nach Einwilligung) und Google Ireland Limited (Firebase Crashlytics — Absturzberichte der App, nur nach Einwilligung). Die App bindet PostHog und Crashlytics seit Juli 2026 ein; seit App-Version 1.5.0 hängen beide an derselben Einwilligung und sind vor deren Erteilung abgeschaltet.
2026-09-05	1.3	Angaben zur Sprachverarbeitung berichtigt: Von den regelmäßigen Anrufen wird keine Tonaufnahme gespeichert; die Sprachverarbeitung erfolgt in Echtzeit, gespeichert wird ein schriftliches Gesprächsprotokoll (14 Tage). Beim Sprachstrom über Twilio ausdrücklich klargestellt, dass keine Speicherung erfolgt. Rolle von HubSpot präzisiert (Blog-Auslieferung, Warteliste, Subscriber-CRM, E-Mail-Kommunikation sowie das einwilligungspflichtige Website-Tracking); die Website selbst wird nicht über HubSpot ausgeliefert. Speicherort einheitlich beschrieben: Server in der Europäischen Union, Speicherung ausschließlich in Deutschland.
2026-10-05	1.6	Meta-Eintrag an Datenschutzerklärung 2.6 angeglichen: gemeinsame Verantwortlichkeit statt Auftragsverarbeitung, vollständige IP-Adresse, Übermittlungsgrundlage ohne Modulangabe.
2026-10-05	1.5	Google-Eintrag an das tatsächliche Verhalten angeglichen (nichts vor der Einwilligung, Seitenadresse ohne Parameter, IP-Adresse nicht gespeichert); Bezeichnung „KI-Begleiter am Telefon".
2026-09-10	1.4	AWS-Eintrag um die Anfragen an den KI-Begleiter für Veranstaltungen auf der Website ergänzt (Sprachmodell auf Amazon Bedrock in EU-Rechenzentren; keine Speicherung von Frage und Antwort)

Stand: 10. September 2026 · Silverfriend GmbH · datenschutz@silverfriend.de