Datenschutz · Anlage 1 zum AVV

Verzeichnis der Unterauftragsverarbeiter

Fassung 1.0 · Stand 29. August 2026

Diese Seite ist die öffentliche Fassung der Anlage 1 zu unserem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Sie nennt jeden Anbieter, der in unserem Auftrag personenbezogene Daten verarbeitet, wofür, wo und auf welcher Grundlage. Welche Maschine was tut — und wie man das selbst nachmisst — steht unter Wo patchletter läuft.

Wo verarbeitet wird

Von 7 Unterauftragsverarbeitern verarbeiten 6 ausschließlich innerhalb der EU. Der Rest steht unten mit den angewandten Garantien: Cloudflare, Inc. — autoritativer DNS, und der Grund, warum wir „kein US-Hosting“ schreiben und nicht „kein US-Anbieter“.

Verantwortliche Stelle

Unternehmen: patchletter UG (haftungsbeschränkt) i. G.
Anschrift: Meisterweg 16, 45896 Gelsenkirchen, Deutschland
Vertreten durch: Kolja Sagorski
Datenschutz: legal@patchletter.com
Sicherheitsmeldungen: security@patchletter.com

Unterauftragsverarbeiter

Scaleway SAS

nur EU

Anschrift: 8, rue de la Ville-l’Évêque, 75008 Paris, Frankreich
Zweck: Hosting: die Anwendung auf einer Instance, die wir selbst betreiben, dazu Datenbank und Objektspeicher als verwaltete Dienste. Auf derselben Instance laufen seit dem 29. August 2026 auch Fehler-Monitoring (Bugsink), Reichweitenmessung (Umami) und die elektronische Unterzeichnung des AVV (DocuSeal). Dazu der Versand von Anmeldelinks, Einladungen und Bestätigungsmails (Transactional Email).
Datenkategorien: Sämtliche Anwendungsdaten: E-Mail-Adressen, verfolgte Produkte, Konto- und Rechnungsdaten, dazu Log- und Fehlerdaten sowie die Empfängeradressen der transaktionalen Mails.
Verarbeitungsorte: Region Paris (fr-par) für Anwendung, Datenbank und Objektspeicher, ebenso für die Sicherungen, die der Anbieter alle sechs Stunden von der verwalteten Datenbank anlegt (sieben Tage Aufbewahrung). Unsere eigenen stündlichen Sicherungskopien liegen im Objektspeicher desselben Anbieters in der Region Amsterdam (nl-ams).
Garantien: Französisches Unternehmen ohne US-Muttergesellschaft. Der Anbieter betreibt Regionen ausschließlich innerhalb der EU (Paris, Amsterdam, Warschau, Mailand). Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

Heinlein Hosting GmbH (mailbox.org)

nur EU

Anschrift: Schwedter Str. 8/9b, 10119 Berlin, Deutschland
Zweck: Postfach und Empfang eingehender Mail an @patchletter.com-Adressen sowie Aufbewahrung unserer Off-Site-Sicherungen der Datenbank.
Datenkategorien: Inhalte, Absender und Anhänge der an uns gerichteten Mail; in den Sicherungen der vollständige Datenbestand — dieser jedoch ausschließlich als Chiffrat.
Verarbeitungsorte: Berlin, Deutschland.
Garantien: Deutsches Unternehmen, Verarbeitung in Deutschland. Die Sicherungen werden clientseitig verschlüsselt (Kopia, AES-256-GCM), bevor sie unsere Maschine verlassen; beim Anbieter liegt ausschließlich Chiffrat. Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

LOGIN SystemHaus GmbH (mailbridge)

nur EU

Anschrift: Hagenauer Str. 55, 65203 Wiesbaden, Deutschland
Register: Amtsgericht Wiesbaden, HRB 12713
Zweck: Versand der Update-, Newsletter- und Sicherheitsmails über das Relay mailbridge.
Datenkategorien: Empfängeradresse und Inhalt der versandten Nachricht. Kein Klick- oder Öffnungs-Tracking — einfaches SMTP kennt so etwas nicht.
Verarbeitungsorte: Ausschließlich Deutschland.
Garantien: Deutsches Unternehmen, Verarbeitung ausschließlich in Deutschland. Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

IONOS SE

nur EU

Anschrift: Elgendorfer Str. 57, 56410 Montabaur, Deutschland
Zweck: Getrennte Maschine bei einem anderen Anbieter: Verfügbarkeits-Überwachung unserer Dienste (Statusseite) sowie, bis zur Abschaltung der alten Maschine, die Sicherungen von deren Datenbank.
Datenkategorien: Für die Überwachung selbst keine personenbezogenen Daten — geprüft werden Erreichbarkeit und Betriebswerte. In den verbliebenen Sicherungen der alten Maschine der dortige Datenbestand.
Verarbeitungsorte: Berlin, Deutschland.
Garantien: Deutsches Unternehmen, Verarbeitung in Deutschland. Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

manitu GmbH

nur EU

Anschrift: Welvertstraße 2, 66606 St. Wendel, Deutschland
Zweck: Server-Hosting der stillgelegten alten Maschine. Sie verarbeitet seit dem Subdomain-Umzug am 29. August 2026 nichts mehr — Fehler-Monitoring, Reichweitenmessung, DocuSeal und die Annahme maschineller Eingangs-Mail liefen bis dahin dort und laufen seither bei Scaleway. Bis zur Abschaltung liegt dort noch eine ruhende Kopie der Anwendungsdaten aus dem Umzug; sie ist der Rückweg, falls der Umzug zurückgedreht werden muss.
Datenkategorien: In der ruhenden Kopie der vollständige Datenbestand zum Zeitpunkt des Umzugs, also jede Abonnentenadresse.
Verarbeitungsorte: St. Wendel, Deutschland.
Garantien: Deutsches Unternehmen, Verarbeitung ausschließlich in Deutschland. Der Anbieter ist weiterhin genannt, weil er Kopien der Produktionsdaten hält — ein Unterauftragsverarbeiter, der das tut, gehört mit genau diesem Zweck in die Liste, auch wenn nichts mehr läuft. Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

Mailjet SAS (Sinch-Gruppe)

nur EU

Anschrift: 13-13 bis rue de l’Aubrac, 75012 Paris, Frankreich
Zweck: Rückfallweg für den Versand. Kommt nur zum Einsatz, wenn der Regelweg ausfällt, und ist auf 200 Nachrichten am Tag gedeckelt.
Datenkategorien: Im Rückfall: Empfängeradresse und Inhalt der versandten Nachricht.
Verarbeitungsorte: EU-Rechenzentren (Frankfurt und Saint-Ghislain).
Garantien: Verarbeitung in EU-Rechenzentren. Der Weg steht hier, obwohl er nicht der Regelweg ist: Der Zugang ist eingerichtet und übernimmt, sobald der Regelweg ausfällt — einen Auftragsverarbeiter erst zu nennen, wenn er tatsächlich arbeitet, wäre zu spät. Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzerklärung: beim Anbieter

Cloudflare, Inc.

Drittland

Anschrift: 101 Townsend St, San Francisco, CA 94107, USA
Zweck: Ausschließlich autoritativer DNS-Dienst für patchletter.com. Dabei werden Domainnamen aufgelöst; Konto-Daten oder Mail-Inhalte werden nicht übermittelt.
Datenkategorien: Keine Bestandsdaten. Anfragende IP-Adressen auflösender Resolver, wie sie bei jeder Namensauflösung anfallen.
Verarbeitungsorte: Weltweites Anycast-Netz, Sitz des Anbieters in den USA.
Garantien: Standardvertragsklauseln (Art. 46 DSGVO) und, soweit der Anbieter zertifiziert ist, das EU-US Data Privacy Framework. Dies ist der einzige Punkt mit Drittlandbezug — und der Grund, warum wir „kein US-Hosting“ schreiben und nicht „kein US-Anbieter“: Ein einziges dig NS patchletter.com würde die zweite Formulierung widerlegen. Die Domain unterliegt noch einer Transfersperre; ein Wechsel zu einem deutschen Registrar ist vorgesehen, sobald sie abgelaufen ist.
Datenschutzerklärung: beim Anbieter

Bewusst nicht gelistet

Eine Lücke ohne Begründung liest sich wie ein Versäumnis. Deshalb steht hier, was fehlt — und warum.

Unser Zahlungsdienstleister: Er verarbeitet Rechnungsdaten, für die wir eigener Verantwortlicher sind — er ist kein Unterauftragsverarbeiter für die Daten, die wir im Auftrag verarbeiten.
Reichweitenmessung, Fehler-Monitoring und Bot-Schutz: Umami und Bugsink betreiben wir selbst auf unserer eigenen Instance; die Aufgabe für den Bot-Schutz (ALTCHA) stellt und prüft die Anwendung selbst. Ein fremder Dienst ist daran nicht beteiligt — der Hoster der Instance steht als Scaleway ohnehin oben.

Änderungen an dieser Liste

Jede beabsichtigte Änderung — ein neuer Unterauftragsverarbeiter oder ein Wechsel — kündigen wir mindestens 30 Tage vorher in Textform an deine Rechnungsadresse an. Innerhalb dieser 30 Tage kannst du aus sachlichem datenschutzrechtlichem Grund widersprechen; können wir den Widerspruch nicht ausräumen, darfst du kündigen. Das Verfahren steht in Abschnitt 9 des AVV.