Subauftragsverarbeiter
Jeder Anbieter,offen auf dem Tisch.
Ein Subauftragsverarbeiter ist ein Dienstleister, der für fastmon Kunden- oder Monitoring-Daten verarbeitet (Art. 28 DSGVO). Diese Seite listet beides: jeden Subauftragsverarbeiter im Kundendaten-Pfad und, weil Transparenz für uns nicht am Datenpfad endet, auch die internen Business-Tools, die nie Kunden- oder Monitoring-Daten sehen.
Stand: 17. Juli 2026
Der Kundendaten-Pfad
Jedes System, das Kunden- oder Monitoring-Daten verarbeitet. Eine kleine Zahl sorgfältig ausgewählter Subauftragsverarbeiter: jeder ein Unternehmen aus Deutschland oder der EU, jeder durch einen Auftragsverarbeitungsvertrag gebunden. Kein Anbieter im Kundendaten-Pfad ist ein US-Unternehmen; ein Zugriff über den US CLOUD Act ist damit nicht zu erwarten.
Hosting und Infrastruktur
| Anbieter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Hosting, Storage, Backup | Deutschland, Falkenstein |
| ScaleCommerce GmbH | Hosting | Deutschland, Berlin |
| smoxy GmbH | Ingress | Deutschland, Berlin |
| BunnyWay d.o.o. | Autoritativer DNS-Dienst | Slowenien, Tržič |
Buchhaltung, Rechnungen und Zahlungen
| Anbieter | Zweck | Standort |
|---|---|---|
| sevdesk GmbH | Buchhaltung und Rechnungserstellung | Deutschland, Offenburg |
| Mollie B.V. | Zahlungsabwicklung für Online-Zahlungen in Europa; regulierter Zahlungsdienstleister (PSD2) in eigener datenschutzrechtlicher Verantwortung, daher kein Subauftragsverarbeiter | Niederlande, Amsterdam |
| Anbieter | Zweck | Standort |
|---|---|---|
| Lettermint B.V. | Transaktionale E-Mails | Niederlande, Zwolle |
| Soverin B.V. | Geschäftsmail | Niederlande, Rotterdam |
Engineering-Betrieb
| Anbieter | Zweck | Standort |
|---|---|---|
| All Quiet GmbH | On-Call-Tool fürs fastmon-Engineering | Deutschland, Berlin |
KI (nur bei Opt-in)
| Anbieter | Zweck | Standort |
|---|---|---|
| Mistral AI SAS | LLM-Inferenz, nur bei Opt-in der AI-Chat-Funktion | Frankreich, Paris |
Fünf der neun Subauftragsverarbeiter sitzen in Deutschland, die übrigen in der EU (Niederlande, Slowenien, Frankreich). Kartenzahlungen laufen über Mollie B.V. (Amsterdam), das als regulierter Zahlungsdienstleister in eigener Verantwortung handelt und daher kein Subauftragsverarbeiter ist.
Interne Business-Tools
Für den internen Geschäftsbetrieb nutzen wir außerdem die folgenden Anbieter. An sie werden keine Kunden- und keine Monitoring-Daten übertragen, sie verarbeiten keine, und sie sind deshalb keine Subauftragsverarbeiter im Sinne von Art. 28 DSGVO. Wir listen sie trotzdem, denn Transparenz endet für uns nicht am Datenpfad.
| Anbieter | Zweck | Kundendaten | Standort |
|---|---|---|---|
| GitHub, Inc.Versionsverwaltung | Quellcode-Hosting, Versionsverwaltung und CI/CD-Pipelines | Keine übertragen | USA |
| Linear Orbit, Inc.Projektmanagement | Projekt- und Ticket-Tracking, ausschließlich für die Produktentwicklung | Keine übertragen | USA |
| Anthropic, PBCEntwicklung | KI-gestützte Entwicklung: Coding und Code-Reviews mit Claude Code | Keine übertragen | USA |
| Wire Swiss GmbHKommunikation | Interne Team-Kommunikation und Zusammenarbeit | Keine übertragen | Schweiz, Zug |
Unsere interne Richtlinie dazu ist einfach: keine Kunden- oder Monitoring-Daten in Repositories, Tickets, Chats oder Entwicklungs-Tools. Der komplette Kundendaten-Pfad bleibt in Deutschland und der EU.
Internationale Datenübermittlungen
Für den Kundendaten-Pfad findet keine Übermittlung in Drittländer statt: Alle Kunden- und Monitoring-Daten werden ausschließlich in Deutschland und der EU verarbeitet, und jeder Subauftragsverarbeiter sitzt in der EU. Für deine Daten brauchen wir deshalb weder Standardvertragsklauseln noch Angemessenheitsbeschlüsse; ein Zugriff über den US CLOUD Act ist nicht zu erwarten.
Bei den internen Business-Tools sitzen drei Anbieter in den USA und einer in der Schweiz. Sie verarbeiten keine Kunden- oder Monitoring-Daten; dort fallen nur interne Daten an, etwa Accounts unserer eigenen Mitarbeiter. Für diese internen Daten gelten die EU-Standardvertragsklauseln aus den Auftragsverarbeitungsverträgen der jeweiligen Anbieter (Art. 46 DSGVO), GitHub ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert, und die Schweiz ist durch einen Angemessenheitsbeschluss der EU-Kommission abgedeckt (Art. 45 DSGVO).
Änderungen an dieser Liste
Bevor wir einen neuen Subauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, kündigen wir das mindestens 30 Tage vorab in Textform an und aktualisieren diese Seite.
Widerspruchsrecht
Als Kunde kannst du einem angekündigten neuen Subauftragsverarbeiter innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen (§ 7 AVV). Bei berechtigtem Widerspruch setzen wir den neuen Anbieter nicht für deine Daten ein, bis eine einvernehmliche Lösung gefunden ist; kommt innerhalb von 30 Tagen keine zustande, hast du ein außerordentliches Kündigungsrecht für den Hauptvertrag.
Die verbindliche Fassung der Subauftragsverarbeiter-Liste ist Teil des Auftragsverarbeitungsvertrags.
Fragen zum Datenpfad? Schreib an privacy@fastmon.eu.