Übersicht der eingesetzten Auftragsverarbeiter
beevent GmbH · Stralauer Allee 2 · 10245 Berlin
Anlage zur Dokumentation der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) sowie zum Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Stand: 26.08.2026 · Verantwortlich: Fabian Lau · Version: 1.2
1. Auftragsverarbeiter, Verarbeitungszwecke und Verarbeitungsorte
| Dienst | Vertragspartner | Anschrift | Zweck | Verarbeitungsort | Drittlandtransfer |
|---|---|---|---|---|---|
| Hetzner | Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Deutschland | Infrastruktur (Server, Datenbank) | Rechenzentren Nürnberg / Falkenstein (DE) | Nein (EU/DE) |
| Lovable | Lovable Labs Incorporated (EU-Vertretung: Lovable Labs AB, Stockholm, Schweden) | 1111b South Governors Avenue, Dover, DE 19904, USA | Bereitstellung der Website (Hosting, Auslieferung) | Global (verteiltes Netzwerk) | Ja (USA) |
| Google Analytics | Google Ireland Limited (Konzern: Google LLC, USA) | Gordon House, Barrow Street, Dublin 4, Irland | Reichweitenmessung der Website (nur nach Einwilligung) | EU sowie USA | Ja (USA) |
| Cloudflare | Cloudflare, Inc. | 101 Townsend Street, San Francisco, CA 94107, USA | DNS, WAF, Caching, Infrastruktur | Global (Anycast-Edge-Netzwerk) | Ja (USA) |
| Amazon Web Services | Amazon Web Services EMEA SARL | 38 Avenue John F. Kennedy, L-1855 Luxemburg | Object Storage | Region eu-central-1, Frankfurt am Main (DE) | Nein (EU), US-Konzernmutter |
| Sentry | Functional Software, Inc. (dba Sentry) | 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA | Error Logging | EU-Region, Rechenzentrum Deutschland | Ja (USA) |
| SendGrid | Twilio Ireland Limited (Konzern: Twilio Inc.) | 3 Dublin Landings, North Wall Quay, Dublin 1, Irland | E-Mail-Versand (transaktional) | Überwiegend USA | Ja (USA) |
2. Transfergrundlagen nach Art. 44 ff. DSGVO
Der Zertifizierungsstatus nach dem EU-U.S. Data Privacy Framework wurde am 26.08.2026 in der Liste des US-Handelsministeriums (dataprivacyframework.gov/list) abgefragt. Die Belege liegen als Ausdruck vor.
| Dienst | Transfergrundlage | DPF-Status (Abfrage 26.08.2026) | Maßgebliche AVV-Fassung |
|---|---|---|---|
| Hetzner | entfällt – Verarbeitung ausschließlich in der EU; der AV-Vertrag sieht für den Fall einer Drittlandverarbeitung eine vorherige Information sowie die Einhaltung der Art. 44 ff. DSGVO vor | nicht einschlägig (deutsches Unternehmen) | Über den Kundenaccount geschlossener AV-Vertrag (Kundenkonto bestehend seit 13.03.2025) |
| Lovable | Standardvertragsklauseln (Modul 2 und 3) sowie UK-Addendum, einbezogen über das Data Processing Agreement des Anbieters | kein DPF-Eintrag; Absicherung über Standardvertragsklauseln | Lovable Data Processing Agreement Fassung vom 17.11.2025 (Bestandteil der Nutzung im Business-Tarif) |
| Google Analytics | EU-U.S. Data Privacy Framework (Google LLC); ergänzend Standardvertragsklauseln über die Google Ads Data Processing Terms | Eintrag: Google LLC – Active Participant | Google Ads Data Processing Terms (Annahme im Google-Analytics-Konto) |
| Cloudflare | EU-U.S. Data Privacy Framework; Standardvertragsklauseln als Rückfallebene, ausdrücklich geregelt in Ziffer 6 des Cloudflare Data Processing Addendum | Eintrag: Cloudflare, Inc. – Active Participant. EU-U.S. DPF: Active. Erstzertifizierung: 09.11.2016. Nächste Rezertifizierung: 23.09.2026. Umfang: HR- und Non-HR-Daten. Prüfmethode: Self-Assessment | Cloudflare Data Processing Addendum Version 6.4, gültig ab 03.04.2026 (Bestandteil der Nutzungsbedingungen) |
| Amazon Web Services | Vertragspartner ist eine EU-Gesellschaft; Verarbeitung in Frankfurt am Main. Für einen möglichen Zugriff der US-Konzernmutter enthält das AWS Data Processing Addendum Standardvertragsklauseln | nicht einschlägig (luxemburgische Gesellschaft) | AWS Data Processing Addendum (automatisch Bestandteil der AWS Service Terms) |
| Sentry | EU-U.S. Data Privacy Framework; ergänzend Standardvertragsklauseln über das Sentry Data Processing Addendum | Eintrag: Sentry.io (Functional Software, Inc.) – Active Participant. EU-U.S. DPF: Active. Erstzertifizierung: 19.12.2016. Nächste Rezertifizierung: 28.05.2027. Umfang: Non-HR-Daten. Prüfmethode: Self-Assessment | Sentry Data Processing Addendum Version 5.1.0 vom 29.05.2024 (gesonderte elektronische Annahme im Kundenaccount) |
| SendGrid | Vertragspartner ist eine EU-Gesellschaft (Twilio Ireland Limited). Für die Übermittlung an die US-Konzerngesellschaft: EU-U.S. Data Privacy Framework sowie Standardvertragsklauseln über das Twilio Data Protection Addendum (Schedule 3). Hinweis: Die Binding Corporate Rules von Twilio erfassen die SendGrid-Dienste ausdrücklich nicht; maßgeblich sind daher DPF und Standardvertragsklauseln | Eintrag: Twilio Inc. – Active Participant. EU-U.S. DPF: Active. Erstzertifizierung: 25.10.2016. Nächste Rezertifizierung: 20.04.2027. Umfang: Non-HR-Daten. Prüfmethode: Self-Assessment. Weitere erfasste Gesellschaft laut Eintrag: Stytch | Twilio Data Protection Addendum Fassung vom 09.04.2026 (Bestandteil der Nutzungsbedingungen) |
Wiedervorlage: Die Zertifizierung von Cloudflare, Inc. ist bis zum 23.09.2026 zu erneuern. Der Status ist zu diesem Zeitpunkt erneut abzufragen und zu dokumentieren.
3. Datenkategorien und Aufbewahrung beim Anbieter
Die Angaben zur Aufbewahrung beruhen auf den öffentlichen Angaben der Anbieter, abgerufen am 26.08.2026. Maßgeblich ist im Einzelfall der jeweils geltende Auftragsverarbeitungsvertrag.
| Dienst | Datenkategorien | Betroffene Personen | Aufbewahrung beim Anbieter |
|---|---|---|---|
| Hetzner | sämtliche in den Anwendungen verarbeiteten Daten | Beschäftigte der Kunden; Ansprechpartner von deren Kunden | Speicherdauer wird durch beevent gesteuert. Datensicherungen 30 Tage. Löschung oder Rückgabe nach Vertragsende |
| Lovable | Protokolldaten der Website: IP-Adresse, ungefährer Standort, Browsertyp und -version, aufgerufene Seiten, Zeitstempel, Sitzungs- und Gerätekennungen | Besucher der Website; Nutzer der beevent-Lovable-Konten | Protokolldaten für Sicherheits- und Verbesserungszwecke. Kundendaten: Löschung oder Rückgabe auf Anforderung innerhalb von 30 Tagen nach Vertragsende |
| Google Analytics | Nutzungsdaten der Website: gekürzte IP-Adresse, Seitenaufrufe, Geräte- und Browserangaben, Cookie-Kennungen | Besucher der Website, die eingewilligt haben | Aufbewahrung der Nutzer- und Ereignisdaten: 14 Monate (längste im Konto wählbare Frist). Einstellung im Konto entsprechend setzen. |
| Cloudflare | Verbindungs- und Metadaten (u. a. IP-Adressen) | Nutzer der Anwendungen | HTTP-Request-Logs werden standardmäßig nicht dauerhaft aufbewahrt; eine Aufbewahrung muss aktiv eingeschaltet werden. Native Logauswertung: 30 Tage. Löschung oder Rückgabe nach Vertragsende gemäß Data Processing Addendum |
| Amazon Web Services | hochgeladene Dateien und deren Inhalte | Beschäftigte der Kunden; Ansprechpartner von deren Kunden | Speicherdauer wird vollständig durch beevent gesteuert (Objektlöschung bzw. Lebenszyklusregeln). Löschung nach Kontobeendigung gemäß AWS Data Processing Addendum |
| Sentry | technische Fehlerdaten; keine Authentifizierungsmerkmale, keine Inhalte von Anfragen | Nutzer der Anwendungen | Fehlerdaten planabhängig 30 bzw. 90 Tage; Protokolldaten 30 Tage. Die Frist wird zum Zeitpunkt der Erfassung festgelegt. |
| SendGrid | E-Mail-Adressen, Namen, Inhalte transaktionaler Nachrichten | Ansprechpartner der Kunden unserer Kunden | Nachrichteninhalte nur für die Dauer der Zustellung, längstens 72 Stunden (bei geplantem Versand entsprechend länger). Empfängerbezogene Daten längstens 37 Tage. Versandereignisse ohne Nachrichteninhalt bis zu einem Jahr. Nach Vertragsende: Löschung oder Rückgabe nach Wahl des Kunden; Löschung aus den Sicherungssystemen ein Jahr nach Vertragsende (Twilio DPA, Schedule 1 Ziffer 6.2) |
Die SendGrid-Dienste werden nicht über ein EU-Unterkonto genutzt. Aktivitäts- und Protokolldaten werden daher in den Vereinigten Staaten gespeichert.
4. Hinweise
- Die Zertifizierung nach dem Data Privacy Framework ist eine Selbstzertifizierung. Der Status ist jeweils zum Rezertifizierungsdatum sowie anlassbezogen erneut in der Liste des US-Handelsministeriums abzufragen und mit Datum zu dokumentieren.
- Bei allen drei Eintragungen erfolgt die Überprüfung im Wege der Selbstbewertung (Self-Assessment) und nicht durch eine unabhängige Stelle. Dies entspricht dem im Programm vorgesehenen Regelfall.
- Die SendGrid-Dienste sind im Eintrag von Twilio Inc. nicht als eigene erfasste Gesellschaft ausgewiesen. Vertragspartner der beevent GmbH ist die Twilio Ireland Limited; die Übermittlung an die US-Konzerngesellschaft richtet sich nach dem Twilio Data Protection Addendum.
- Firmierungen und Vertragsentitäten der Anbieter ändern sich. Insbesondere bei Amazon Web Services und Twilio wurden Vertragsentitäten in der Vergangenheit umgestellt. Jede Zeile ist vor Freigabe anhand des aktuellen Auftragsverarbeitungsvertrags bzw. Impressums zu verifizieren.
- Die Auftragsverarbeitungsverträge von Hetzner und Sentry werden nicht automatisch Vertragsbestandteil, sondern sind jeweils über den Kundenaccount gesondert abzuschließen. Beide Verträge liegen vor.
- Lovable setzt zur Erbringung seiner Leistungen eigene Unterauftragsverarbeiter ein, unter anderem Supabase für Datenbank- und Edge-Funktionen. Die Kette ist über Ziffer 7 des Lovable Data Processing Agreement abgedeckt; die jeweils aktuelle Liste führt der Anbieter unter enterprise.lovable.dev/subprocessors. Eine eigene Vertragsbeziehung der beevent GmbH zu diesen Unterauftragsverarbeitern besteht nicht.
- Das Sentry Data Processing Addendum untersagt ausdrücklich die Übermittlung besonderer Kategorien personenbezogener Daten. Die Fehlerprotokollierung ist entsprechend so konfiguriert, dass weder Inhalte von Anfragen noch Authentifizierungsmerkmale übertragen werden.
- Anwendung und Datenbank der beevent GmbH werden ausschließlich in Deutschland betrieben. Die Verarbeitung außerhalb der Europäischen Union beschränkt sich auf die unterstützenden Dienste Cloudflare, Sentry und SendGrid.
Geprüft am: 26.08.2026 · Freigabe: Fabian Lau, Geschäftsführer