Version 1.2 — gültig ab 02.09.2026
Zur Erbringung der Leistungen von Immostagio setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Mit allen als Auftragsverarbeiter tätigen Dienstleistern bestehen Auftragsverarbeitungsverträge. Diese Liste ist Bestandteil des Auftragsverarbeitungsvertrags (AVV) (Anlage A zu den AGB) und wird bei Änderungen aktualisiert. Bestandskunden werden über die Hinzunahme oder Ersetzung eines Sub-Auftragsverarbeiters mindestens 30 Tage vorab informiert (AVV § 6 Abs. 2). Für die dringende Ersetzung eines Anbieters gilt AVV § 6 Abs. 2b; eine erstmalige Drittlandübermittlung kann darauf nicht gestützt werden.
Umfang dieser Liste. Erfasst sind in Abschnitt 1 ausschließlich Dienstleister, die personenbezogene Daten im Auftrag der Makler-Kunden verarbeiten, also im Rahmen der Verarbeitung der hochgeladenen Immobilienfotos. Nur diese sind Sub-Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 und Abs. 4 DSGVO, und nur auf sie findet § 6 AVV (Mitteilung, Einspruch, Back-to-Back-Pflichten, Einstandspflicht) Anwendung. Abschnitt 2 nennt nachrichtlich die Dienstleister, die wir in eigener Verantwortlichkeit für Zahlung, Rechnungsstellung, Kontoverwaltung und Kommunikation einsetzen; sie verarbeiten keine Daten aus den hochgeladenen Fotos und sind keine Sub-Auftragsverarbeiter. Dienste, die wir in eigener Verantwortlichkeit auf den öffentlichen Marketing-Seiten einsetzen (insbesondere Reichweitenmessung und Werbung), sind ebenfalls keine Sub-Auftragsverarbeiter; sie sind in der Datenschutzerklärung gesondert ausgewiesen.
| Dienstleister | Zweck | Ort der Verarbeitung | Übermittlungsgrundlage |
|---|---|---|---|
| Supabase Pte. Ltd., Singapur — Verarbeitung in Frankfurt am Main (EU) | Speicherung der hochgeladenen Fotos, der erzeugten Staging-Bilder und der zugehörigen Metadaten | Frankfurt am Main, Deutschland (EU) | EU-Verarbeitung; Vertragspartner mit Sitz in einem Drittland, administrativer Fernzugriff aus Drittländern nicht ausgeschlossen* — EU-Standardvertragsklauseln (Modul 3) nach dem Supabase Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO) |
| Hetzner Online GmbH, Deutschland (EU) | Hosting der Anwendung (Compute), soweit sie die hochgeladenen Fotos verarbeitet und zwischenspeichert | Deutschland (EU) | Keine Drittlandübermittlung |
| Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (EU) | KI-gestützte Bildanalyse der hochgeladenen Fotos (technische Analyse zur Vorbereitung des Stagings) | EU-Region (EU Data Boundary) | EU-Verarbeitung; administrativer Fernzugriff aus Drittländern nicht ausgeschlossen* — EU-Standardvertragsklauseln nach dem Microsoft Products and Services Data Protection Addendum (Art. 46 Abs. 2 lit. c DSGVO), ergänzend EU-US Data Privacy Framework (Art. 45 DSGVO) |
| OpenAI, L.L.C. | KI-gestützte Generierung der virtuellen Staging-Bilder | USA | EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem OpenAI zertifiziert ist; ergänzend sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart. Keine Nutzung zu Trainingszwecken; derzeit keine Speicherung (Zero Data Retention aktiv), ohne ZDR höchstens 30 Tage. |
* Zum administrativen Fernzugriff. Bei den mit * gekennzeichneten Anbietern werden die Daten in der EU gespeichert und verarbeitet. Greift technisches Betriebs-, Support- oder Sicherheitspersonal des Anbieters von außerhalb des Europäischen Wirtschaftsraums auf diese Daten zu — etwa zur Behebung einer Störung oder zur Abwehr eines Sicherheitsvorfalls —, ist das datenschutzrechtlich eine Übermittlung in ein Drittland, auch wenn die Daten die Server in der EU nicht verlassen. Ein solcher Zugriff erfolgt anlassbezogen, ist auf das jeweils Erforderliche beschränkt, protokolliert und verschlüsselt. Er ist durch die mit dem jeweiligen Anbieter vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Bei den hochgeladenen Fotos beschränkt sich diese Möglichkeit auf Störungs- und Sicherheitsfälle; eine routinemäßige Einsichtnahme in die Bildinhalte findet nicht statt.
Supabase und die Hetzner Online GmbH verarbeiten darüber hinaus Konto-, Abrechnungs- und Protokolldaten, für die Trendify e.U. selbst Verantwortlicher ist. In dieser Rolle sind sie keine Sub-Auftragsverarbeiter; siehe die Datenschutzerklärung.
Die folgenden Dienstleister verarbeiten keine Daten aus den hochgeladenen Immobilienfotos und keine Daten der darin abgebildeten Personen. Sie verarbeiten ausschließlich Vertrags-, Zahlungs-, Rechnungs- und Kommunikationsdaten der Makler-Kunden als unsere Vertragspartner, für die Trendify e.U. selbst Verantwortlicher ist. Sie sind daher keine Sub-Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 und Abs. 4 DSGVO; § 6 AVV findet auf sie keine Anwendung, insbesondere lösen Änderungen in diesem Abschnitt weder die Mitteilungsfrist noch das Einspruchs- oder Kündigungsrecht nach AVV § 6 Abs. 2 und 2a aus. Die Angabe erfolgt allein zur Transparenz; maßgeblich sind die Angaben in der Datenschutzerklärung.
| Dienstleister | Zweck | Ort der Verarbeitung | Übermittlungsgrundlage |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland (EU) | Stripe-DPA; etwaige Übermittlung in die USA auf Basis DPF/SCC |
| Easybill GmbH | Erstellung und Verwaltung von Rechnungen | Deutschland (EU) | Keine Drittlandübermittlung |
| Brevo (Sendinblue SAS) | Versand von Transaktions- und Marketing-E-Mails | Belgien (EU) | Keine Drittlandübermittlung |
| 1&1 IONOS SE | E-Mail- und DNS-Infrastruktur | Deutschland (EU) | Keine Drittlandübermittlung |
| Dienstleister | Status |
|---|---|
| Google — Gemini / Vertex AI | Als EU-Fallback (Region europe-west) dokumentiert, derzeit nicht angebunden und kein aktiver Auftragsverarbeiter. Vor produktiver Nutzung: EU-Region, AVV und Aufnahme in diese Liste. |
Im Rahmen der Verarbeitung in Ihrem Auftrag (Abschnitt 1) ist die Übermittlung der hochgeladenen Fotos an OpenAI, L.L.C. (USA) zur Bildgenerierung die einzige Übermittlung, bei der die Fotos zur inhaltlichen Verarbeitung ein Drittland erreichen. Bei den in der EU verarbeitenden Anbietern kann darüber hinaus ein administrativer Fernzugriff aus Drittländern nicht ausgeschlossen werden (siehe die Fußnote zur Tabelle); auch dieser ist datenschutzrechtlich eine Übermittlung. Als Verantwortliche informieren Sie bitte die betroffenen Personen (z. B. Eigentümer, Bewohner) in Ihrer eigenen Datenschutzerklärung über beides und über die jeweilige Grundlage (Data Privacy Framework / Standardvertragsklauseln), Art. 13 Abs. 1 lit. f DSGVO.
Die in Abschnitt 2 nachrichtlich genannten Dienstleister erhalten keine Daten aus den hochgeladenen Fotos. Sie sind für die betroffenen Personen Ihrer Verarbeitung keine Empfänger im Sinne des Art. 4 Z 9 DSGVO und daher weder in Ihrer Datenschutzerklärung noch in Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO) anzuführen.