Liste der Unterauftragsverarbeiter
Stand: 12. Oktober 2026 | Version: 1.7 | Verantwortlicher: KYTH. Systems UG (haftungsbeschränkt)
Änderungs-Hinweis 26.09.2026: Die Zwecke des E-Mail-Versands über INWX sind jetzt vollständig aufgeführt (u. a. Willkommens-Mail und Mitteilungen zu geänderten Rechtstexten); diese E-Mails und der Newsletter von KYTH sind als eigene Verarbeitung von KYTH gekennzeichnet; INWX ist nur zur Transparenz aufgeführt; die Anlässe der internen Telegram-Benachrichtigungen sind vollständig genannt. Kein neuer Dienstleister, keine neuen Datenarten. Die Umsatzsteuer-Identifikationsnummer des Verantwortlichen ist berichtigt.
Änderungs-Notification: Geplante Änderungen (Hinzunahme oder Austausch eines Unterauftragsverarbeiters) werden im Abschnitt „Geplante Änderungen" weiter unten mit einer Vorlauffrist von mindestens 30 Tagen vor Wirksamwerden veröffentlicht (siehe AVV § 6 Abs. 2). Auftraggeber sollten diese Seite regelmäßig konsultieren oder den maschinenlesbaren Feed unter /api/sub-processors.json abonnieren. Bei wesentlichen Änderungen (Drittland-Wechsel, Hosting-Wechsel) erfolgt zusätzlich eine Benachrichtigung per E-Mail an die E-Mail-Adresse, die in Shopify für den Shop hinterlegt ist, und durch einen Hinweis, den die in KARL angelegten Admins in der App sehen. Auftraggeber haben das Recht, Änderungen aus wichtigem datenschutzrechtlichem Grund schriftlich zu widersprechen (datenschutz@kyth.systems).
Aktive Sub-Processoren
| Sub-Processor | Sitz / Verarbeitungsort | Zweck | Drittland-Schutzmechanismus |
|---|---|---|---|
| IONOS SE | Berlin, Deutschland (EU) | Application-Hosting (VPS, Coolify/Docker), PostgreSQL-Datenbank, verschlüsselte Backup-Storage (Object Storage) | Innerhalb EU. AVV mit IONOS gemäß Art. 28 DSGVO abgeschlossen (ionos.de/terms-gtc/avv, Stand 06/2023). IONOS ist nach ISO 27001 zertifiziert. |
| Shopify Inc. | Kanada / Global | E-Commerce-Plattform (Datenquelle der Bestellungen, Embedded-App-Hosting, Webhook-Zustellung) | Shopify ist eigenständiger Verantwortlicher für Shop-Daten. Angemessenheits- beschluss Kanada (Kommerzbereich). DPA mit Shopify abgeschlossen. |
| Cloudflare, Inc. | USA (Anycast, EU-Edge-Server) | DNS-Auflösung der Domain kyth.systems — keine TLS-Terminierung,
kein Reverse-Proxy, keine Inhaltsverarbeitung |
Standardvertragsklauseln (SCC 2021/914/EU) + Cloudflare DPA. Verarbeitung beschränkt auf DNS-Anfragen. |
| Geoapify GmbH | Wien, Österreich (EU) | Adress-Autocomplete und Geocoding für Versandlabels — übermittelt werden ausschließlich vom Händler eingegebene Adress-Fragmente, keine Endkunden-Namen | Innerhalb EU. AVV mit Geoapify abgeschlossen. |
| INWX GmbH | Sitz: Berlin, Deutschland. Verarbeitung laut Vertrag ausschließlich in der EU oder
im EWR (Mail-Server smtp.webspace.bz) |
Versand der KARL-eigenen System-Mails (Willkommens-Mail nach der Installation, Mitteilungen zu geänderten Rechtstexten, Erinnerung vor Ablauf der UPS-Verbindung, Passwort-Reset und Bestätigung der Passwortänderung, App-Uninstall-Feedback, Waitlist-Eingang) und des Newsletters von KYTH (nur nach Einwilligung, siehe Datenschutzerklärung Abschnitt 11). Diese E-Mails verschickt KYTH in eigener Verantwortung (Datenschutzerklärung Abschnitt 5) — das ist eine eigene Verarbeitung von KYTH und keine Auftragsverarbeitung für den Auftraggeber. INWX ist hier nur zur Transparenz aufgeführt; für den Auftraggeber ist INWX kein Unterauftragsverarbeiter im Sinne von AVV § 6. Versandbestätigungen und Retouren- Einladungen an Endkunden werden über den vom Händler konfigurierten SMTP-Server verschickt (eigene Verantwortung des Händlers). | Innerhalb der EU oder des EWR. AVV mit INWX, unterzeichnet am 11. Oktober 2026. |
| GlitchTip (KYTH-Self-Hosted) | Berlin, Deutschland — auf demselben IONOS-VPS | Self-Hosted Error-Tracking. before_send-Hook entfernt
Auth-Header, Cookies, Request-Bodies und Tokens vor dem Logging. Keine
Endkunden-PII werden übermittelt. |
Innerhalb EU. Kein externer Sub-Processor (eigene Infrastruktur). |
Eigene Verantwortliche (keine Auftragsverarbeitung)
Die folgenden Empfänger verarbeiten die übermittelten Daten als eigene Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und nicht weisungsgebunden für den Auftraggeber. Sie sind daher keine Sub-Processoren; die Vorgaben aus AVV § 6 gelten für sie nicht. Die Übermittlung erfolgt zur Durchführung des vom Endkunden veranlassten Versands.
| Empfänger | Sitz / Verarbeitungsort | Zweck der Übermittlung | Drittland-Schutzmechanismus |
|---|---|---|---|
| FedEx Corporation | Memphis, USA (Carrier-API) | Versandetiketten-Erstellung, Sendungsverfolgung — Übermittlung der Empfänger- Adressdaten an die FedEx-API zur Auftragsausführung | EU-US Data Privacy Framework + SCCs. FedEx eigenständiger Verantwortlicher für die Logistik-Durchführung. |
| United Parcel Service (UPS) | Atlanta, USA (Carrier-API) | Versandetiketten-Erstellung, Sendungsverfolgung | EU-US Data Privacy Framework + SCCs. UPS eigenständiger Verantwortlicher. |
| Deutsche Post DHL Group | Bonn, Deutschland (Carrier-API: DHL Paket, DHL Express, Internetmarke) | Versandetiketten-Erstellung, Sendungsverfolgung | Innerhalb EU. Eigenständiger Verantwortlicher für Logistik-Durchführung. |
| DPD Deutschland GmbH | Aschaffenburg, Deutschland (Carrier-API) | Versandetiketten-Erstellung, Sendungsverfolgung | Innerhalb EU. Eigenständiger Verantwortlicher. |
| Österreichische Post AG | Wien, Österreich (Carrier-API) | Versandetiketten-Erstellung für AT-Sendungen | Innerhalb EU. Eigenständiger Verantwortlicher. |
| eBay Inc. | San Jose, USA (eBay Sell API) | Nur mit gebuchtem Add-On „eBay Connector" und verbundenem Verkäuferkonto: Abruf der eBay-Bestellungen (Empfängername, Adresse, Telefon, E-Mail) sowie Rückmeldung der Tracking-Nummer zur Auftragsausführung. Ohne das Add-On findet keine Übermittlung statt. | EU-US Data Privacy Framework + Standardvertragsklauseln. eBay ist eigenständiger Verantwortlicher für den Marktplatz-Betrieb. |
Geplante Änderungen
Aktuell sind keine Änderungen geplant. Bei beabsichtigten Änderungen (Hinzunahme oder Austausch eines Unterauftragsverarbeiters) wird diese Sektion mindestens 30 Tage vor dem Wirksamwerden aktualisiert; Auftraggeber werden zusätzlich per E-Mail und Banner im Admin-Bereich der App informiert.
Die Fassung 1.7 vom 12. Oktober 2026 nimmt keinen Unterauftragsverarbeiter hinzu und tauscht keinen aus: Sie berichtigt die Angaben zu INWX — die Firma lautet INWX GmbH, vertraglich zugesagt ist die Verarbeitung in der EU oder im EWR (Berlin ist der Sitz), und der Vertrag zur Auftragsverarbeitung mit INWX ist am 11. Oktober 2026 unterzeichnet. INWX ist für den Auftraggeber kein Unterauftragsverarbeiter (siehe oben); die Fassung ist keine Änderung nach AVV § 6 Abs. 2. Sie gilt deshalb ohne Vorlauffrist ab ihrer Veröffentlichung und wird nicht gesondert in der App oder per E-Mail angekündigt.
Hinweis zu nicht-Sub-Processoren
Folgende Dienstleister erbringen lediglich Telekommunikations- oder Hilfsleistungen und gelten daher gemäß AVV § 6 Abs. 5 nicht als Auftragsverarbeiter im Sinne der DSGVO:
- Telegram (optional): Telekommunikationskanal des Verantwortlichen für interne Admin-Push-Benachrichtigungen zu diesen Anlässen: neue Fehlermeldungen, neue Support-Chat-Nachrichten, Widersprüche gegen unsere Rechtstexte, eingegangene Auskunftsersuchen (ohne Kennung des Endkunden), Abrechnungs-Warnungen, Ablauf oder Widerruf einer UPS-Verbindung, Sicherheitshinweise zum internen Verwaltungsbereich, Installation, Deinstallation, abgeschlossene Einrichtung und erstes echtes Label eines Shops und Testnachrichten; welche Angaben je Anlass übertragen werden, steht in der Datenschutzerklärung, Abschnitt 7. Es werden keine Endkunden-Daten und keine Verantwortlichen-Daten anderer Auftraggeber über diesen Kanal übertragen — der Empfänger der Nachricht ist der Verantwortliche selbst.
Vertragsgrundlagen für Drittlandtransfers
- EU-US Data Privacy Framework (DPF): Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, anwendbar auf zertifizierte Empfänger in den USA. Aktuelle Empfänger im DPF: FedEx, UPS.
- Standardvertragsklauseln (SCCs): Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021. Werden mit allen US-Sub-Processoren abgeschlossen, ergänzend zum DPF.
- Angemessenheitsbeschluss Kanada: Beschluss der EU-Kommission vom 20. Dezember 2001 für die kommerzielle Verarbeitung in Kanada — anwendbar auf Shopify Inc.
Maschinenlesbare Liste (JSON)
Die maschinenlesbare Variante dieser Liste ist unter /api/sub-processors.json verfügbar. Sie kann von Auftraggebern in eigene Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DSGVO) übernommen werden.