Unterauftragsverarbeiter und wesentliche externe Dienstleister
Stand: 31.10.2026
Diese Übersicht unterscheidet technische Anbieter für Auftragsverarbeitung, eigene SaaS-Vertragsverwaltung und vom Kunden gewählte Integrationen. Ein Anbieter ist nicht für jeden Datenfluss automatisch Unterauftragsverarbeiter. Die konkrete Rolle richtet sich nach Funktion und Vertragsverhältnis; Drittlandverarbeitungen dürfen nicht mit lokalem Backendhosting gleichgesetzt werden.
| Anbieter | Zweck | Typischer Verarbeitungsort / Region | Hinweise |
|---|---|---|---|
| Hetzner Online GmbH | Serverhosting, Produktivsystem, Datenbanken, Backup-Speicher | Deutschland | Bewerber-/Nachrichten-/Dokumentdaten, Datenbanken, lokale KI/OCR und verschlüsselte Backups; Deutschland laut Hostingdokumentation |
| Cloudflare Germany GmbH / Cloudflare-Gruppe | Bereitstellung des Dashboards, CDN/Proxy, TLS und Sicherheitsfunktionen | globales Netzwerk; mögliche Drittlandverarbeitung | Frontend-/Browserabrufe und technische Verbindungs-/Sicherheitsdaten; bei aktiviertem API-Proxy auch darüber übermittelte Inhalte. Der tatsächliche Umfang hängt von den aktivierten Proxyfunktionen ab; das Netzwerk ist global |
| Stripe Payments Europe, Limited und verbundene Stripe-Unternehmen | Zahlungsabwicklung, Zahlungsmethoden, Rechnungs- und Zahlungsstatus | EU und, abhängig vom Datenfluss, Drittländer | Für WOFLO-SaaS-Abrechnung: Kunden-/Rechnungsdaten, Zahlungsstatus und Referenzen; Zahlungsdaten direkt bei Stripe. Rolle je Verarbeitung gesondert prüfen; keine routinemäßige Übermittlung von Bewerbungsunterlagen zur Abrechnung |
| Plus Five Five, Inc. (Resend) | Versand und Empfang von WOFLO-System-, Support- und Datenschutz-E-Mails | USA; ausgehendes Routing kann auf EU gewählt sein | E-Mail-Adressen, Inhalte, Zustellinformationen und gegebenenfalls Anhänge; eine EU-Senderegion legt nicht den allgemeinen Speicherort fest |
Vom Kunden gewählte Integrationsanbieter
Google und Microsoft können zur Anmeldung an WOFLO sowie getrennt als Anbieter eines kundeneigenen E-Mail-Kontos eingesetzt werden. Bei Anmeldung werden Identitäts- und technische Authentifizierungsdaten verarbeitet; bei Postfachintegration insbesondere Kontokennung, Tokens, Nachrichtenmetadaten/-texte und versendete Kommunikation. Der aktuelle Postfachimport übernimmt keine Anhänge; unterstützte ausgehende Nachrichten können Anhänge enthalten. Diese Anbieter werden nicht allein dadurch zu allgemeinen Unterauftragsverarbeitern von WOFLO. Die datenschutzrechtliche Rolle richtet sich nach der konkreten Integration, den Verträgen des Kunden und dem jeweiligen Datenfluss.
Entsprechendes gilt für generische IMAP-E-Mail-Anbieter des Kunden.
Für einzelne transaktionale Nachrichten kann außerdem ein konfigurierbarer SMTP-Anbieter eingesetzt werden. Ein Platzhalterhost ist kein Nachweis eines produktiv genutzten Anbieters. Vor einem produktiven Einsatz mit personenbezogenen Daten muss dessen konkrete Identität in diese Liste aufgenommen und datenschutzrechtlich vertraglich geprüft werden.
Keine externen Unterauftragsverarbeiter
Die folgenden Komponenten werden innerhalb der WOFLO-Infrastruktur betrieben und stellen daher keine eigenständigen externen Unterauftragsverarbeiter dar:
- lokale KI-Modelle,
- lokale OCR-Verarbeitung,
- PostgreSQL,
- Redis,
- Caddy,
- lokale Dokumentkonvertierung.
Ein im Quellcode verwendetes OpenAI-kompatibles SDK macht OpenAI bei ausschließlicher Adressierung des internen Ollama-Dienstes nicht zum Empfänger von Bewerberdaten. Ein weiterer externer generativer KI-Anbieter ist für diesen Pfad nicht vorgesehen.
Änderungen
WOFLO kann die Liste der Unterauftragsverarbeiter ändern. Kunden werden über wesentliche Änderungen im Rahmen des AVV in angemessener Weise informiert.
Bei Drittlandverarbeitungen stellt WOFLO sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt werden.