Diese Seite listet die Dienstleister auf, die Klirry einsetzt. Nur als Im Einsatz gekennzeichnete Dienstleister sind heute produktiv im Einsatz; ein als Geplant gekennzeichneter Dienstleister wird dem Dienst erst nach der unten beschriebenen Mitteilung hinzugefügt. Unterauftragsverarbeiter verarbeiten die Daten des Kunden im Auftrag von Klirry (AVV, Anhang 3). Klirrys eigene Werkzeuge (Abrechnung, Newsletter, Website-Analyse) setzt Klirry als Verantwortlicher für eigene Zwecke ein; sie sind aufgeführt, damit nichts verborgen bleibt, sind aber keine Unterauftragsverarbeiter der Daten des Kunden. Eine pauschale Aussage „alle Daten bleiben in der EU/im EWR“ kann für den Dienst nicht getroffen werden: Stripe (eine Übermittlung in die USA) und Sentry (ein US-Anbieter mit Datenstandort in der EU) stehen auf der Liste. Die vom Kunden verbundenen Plattformen (Shopify, Meta, Google, TikTok) sind keine Unterauftragsverarbeiter; ihre Rolle ist unten unter „Plattformen“ beschrieben.
Register
| Dienstleister | Rolle | Zweck | Region | Übermittlung außerhalb der EU/des EWR | Datenkategorien | Garantie | Status | Zuletzt geprüft |
|---|---|---|---|---|---|---|---|---|
| Hetzner Online GmbH | Unterauftragsverarbeiter der Kundendaten | Cloud-Hosting: Server, Datenbank, Speichervolumes und verschlüsselte Backups | Deutschland (Falkenstein) | Keine: verbleibt in der EU/im EWR | Alle Bestelldaten und Kontodaten | Hetzners Auftragsverarbeitungsvertrag, bei Kontoeröffnung akzeptiert | Im Einsatz | 2026-09-16 |
| Scaleway SAS | Unterauftragsverarbeiter der Kundendaten | Ausschließlich transaktionale E-Mails: Konto-, Sicherheits-, Testphasen- und Benachrichtigungsmails (niemals Marketing) | Frankreich (Paris, fr-par) | Keine: verbleibt in der EU/im EWR | E-Mail-Adressen der Nutzer des Kunden und der Inhalt der an sie gesendeten Nachrichten | Scalewys Auftragsverarbeitungsvertrag, der bei Kontoerstellung akzeptiert wird | Geplant | noch nicht |
| Functional Software, Inc. (Sentry) | Unterauftragsverarbeiter der Kundendaten | Fehlerüberwachung und Absturzberichte | Datenstandort EU (de.sentry.io); der Anbieter ist ein US-Unternehmen | USA: möglicher Zugriff durch den US-Anbieter; EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Sentry (das EU-US Data Privacy Framework steht ebenfalls zur Verfügung, aber ein Rechtsmittel dagegen ist beim EuGH anhängig) | Bereinigte Stacktraces und Mandanten- oder Nutzerkennungen (UUIDs); konfigurationsgemäß keine personenbezogenen Daten (ein beforeSend-Filter entfernt personenbezogene Daten, einschließlich schwedischer persönlicher Identitätsnummern) | Sentrys Auftragsverarbeitungsvertrag einschließlich Standardvertragsklauseln, der bei Erstellung der Organisation akzeptiert wird; Aufbewahrung in der Organisation auf höchstens 30 Tage gesetzt | Geplant | 2026-10-01 |
| Stripe | Klirrys eigenes Werkzeug (Klirry ist Verantwortlicher) | Abonnementabrechnung für Kunden, die nicht über Shopify zahlen: gehosteter Checkout und Zahlungseinzug. Klirry ist Verantwortlicher für die Abrechnungsdaten; Stripe ist kein Unterauftragsverarbeiter der Bestelldaten des Kunden | Stripes Auftragsverarbeitungsvertrag besagt, dass personenbezogene Daten gemäß dem Datenübermittlungszusatz an Stripe, LLC in den USA übermittelt werden | USA: Stripes Datenübermittlungszusatz (Standardvertragsklauseln); EU-US Data Privacy Framework, soweit Stripe zertifiziert ist | Name und E-Mail des Rechnungskontakts, Firmenname, USt-IdNr. und Tarif; Kartendaten werden auf der gehosteten Seite von Stripe eingegeben und erreichen Klirry nie | Stripes Auftragsverarbeitungsvertrag und Datenübermittlungszusatz, die bei Kontoerstellung akzeptiert werden | Geplant bis zum Live-Modus | noch nicht |
| Sendinblue SAS (Brevo) | Klirrys eigenes Werkzeug (Klirry ist Verantwortlicher) | Newsletter und sonstige Marketing-E-Mails, nur an Personen, die eingewilligt haben (Double-Opt-in). Klirry ist Verantwortlicher; Brevo ist kein Unterauftragsverarbeiter der Bestelldaten des Kunden | Frankreich / EU | Keine: verbleibt in der EU/im EWR | E-Mail-Adresse des Abonnenten und Zeitpunkt der Einwilligung | Brevos Auftragsverarbeitungsvertrag, der bei Kontoerstellung akzeptiert wird (Newsletter-Flag bis dahin AUS) | Geplant | noch nicht |
| Umami (selbst gehostet) | Klirrys eigenes Werkzeug (Klirry ist Verantwortlicher) | Website-Analyse für die Marketingseiten von klirry.com, nur nach Einwilligung des Besuchers (siehe Cookie-Abschnitt der Datenschutzerklärung). Läuft auf Klirrys eigenem Server; kein Dritter erhält die Daten | Deutschland (Falkenstein), auf Klirrys eigenem Hetzner-Server | Keine: verbleibt in der EU/im EWR | Seitenpfad, verweisende Domain, Land, Browserfamilie und Bildschirmklasse einwilligender Besucher; niemals von angemeldeten Seiten | Eigener Dienst auf Klirrys eigenem Server: kein Empfänger | Geplant | noch nicht |
Verbundene Plattformen (Datenquellen, die Sie wählen)
Die folgenden Plattformen sind die Quelle der Kundendaten. Jede ist ein eigenständiger Verantwortlicher für ihre eigenen Daten; Klirry liest mit Autorisierung des Kunden daraus und ist nicht ihr Auftragsverarbeiter, und die Plattform ist nicht Klirrys Unterauftragsverarbeiter. Die Rollen sind vollständig in Abschnitt 4b der Datenschutzerklärung beschrieben.
| Plattform | Rolle | Was Klirry liest oder sendet | Zugriff | So widerrufen Sie den Zugriff |
|---|---|---|---|---|
| Shopify | Quellplattform und Zahlungskanal. Shopify Inc. (Kanada) und Shopify Commerce Singapore Pte. Ltd. sind Klirrys Vertragspartner nach dem Partner Program Agreement; der Händler hat einen Vertrag mit Shopify International Limited (Irland). Klirry liest Bestellungen und Produkte mit den Berechtigungen read_orders und read_products; Shopify ist eigenständiger Verantwortlicher für seine eigenen Daten und kein Unterauftragsverarbeiter von Klirry. | Bestellungen und Produkte (die Berechtigungen read_orders und read_products). Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt | Deinstallieren Sie die App im Shopify-Admin oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Meta | Quellplattform für Werbeausgaben und Leistung (Berechtigung ads_read). Meta ist eigenständiger Verantwortlicher; Klirry ist nicht Auftragsverarbeiter von Meta, und Meta ist nicht Unterauftragsverarbeiter von Klirry. | Werbeausgaben und Leistung je Werbekonto (die Berechtigung ads_read) | Schreibgeschützt | Entfernen Sie Klirry bei den verbundenen Apps in Ihren Meta-Unternehmenseinstellungen oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Quellplattform für Google-Ads-Ausgaben (geplant) und Google Analytics 4 als Richtsignal (geplant, nie in der Gewinnzahl). Google ist eigenständiger Verantwortlicher. | Google-Ads-Ausgaben und Google-Analytics-4-Sitzungen (beides geplant; nie Teil der Gewinnzahl) | Schreibgeschützt | Entfernen Sie Klirry unter dem Zugriff Dritter in Ihrem Google-Konto oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) | |
| TikTok | Geplante Quellplattform für Werbeausgaben. Heute nicht verbunden. TikTok ist eigenständiger Verantwortlicher. | Werbeausgaben (geplant; heute nicht verbunden) | Schreibgeschützt | Entfernen Sie Klirry in Ihren TikTok-Unternehmenseinstellungen oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| WooCommerce | Vorbereitet, Kunden noch nicht angeboten. Quellplattform: Ihr eigener WooCommerce-Shop, den Sie selbst betreiben. Klirry ruft die REST-API des Shops unter der von Ihnen angegebenen Adresse auf. Der Shopinhaber ist Verantwortlicher; Klirry ist nicht Auftragsverarbeiter des Shops, und der Shop ist nicht Unterauftragsverarbeiter von Klirry. | Bestellungen und Bestellpositionen aus der REST-API des Shops. Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (ein von Ihnen erstellter Lesezugriffsschlüssel) | Löschen Sie den REST-API-Schlüssel in WooCommerce (Einstellungen, Erweitert, REST-API) oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| PrestaShop | Vorbereitet, Kunden noch nicht angeboten. Quellplattform: Ihr eigener PrestaShop-Shop, den Sie selbst betreiben. Klirry ruft den Webservice des Shops unter der von Ihnen angegebenen Adresse auf. Der Shopinhaber ist Verantwortlicher; Klirry ist nicht Auftragsverarbeiter des Shops. | Bestellungen und Bestellpositionen aus dem Webservice des Shops. Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (ein von Ihnen erstellter Webservice-Schlüssel) | Löschen Sie den Schlüssel unter Erweiterte Einstellungen, Webservice in PrestaShop oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Shopware 6 | Vorbereitet, Kunden noch nicht angeboten. Quellplattform: Ihr eigener Shopware-6-Shop. Klirry ruft die Admin-API des Shops unter der von Ihnen angegebenen Adresse auf. Der Shopinhaber ist Verantwortlicher; Klirry ist nicht Auftragsverarbeiter des Shops. | Bestellungen und Bestellpositionen über eine Suchanfrage (ein Lesezugriff; es werden keine Änderungen gesendet). Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (eine von Ihnen erstellte Integration) | Löschen Sie die Integration unter Einstellungen, System, Integrationen in Shopware oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| BigCommerce | Vorbereitet, Kunden noch nicht angeboten. Quellplattform. BigCommerce ist ein eigenständiger Verantwortlicher für die eigenen Daten; Klirry ist nicht dessen Auftragsverarbeiter, und BigCommerce ist kein Unterauftragsverarbeiter von Klirry. | Bestellungen (REST-API v2). Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (ein API-Konto auf Shopebene mit reinem Lesezugriff auf Bestellungen) | Löschen Sie das API-Konto in Ihrem BigCommerce-Shop oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Wix | Vorbereitet, Kunden noch nicht angeboten. Quellplattform. Wix ist ein eigenständiger Verantwortlicher für die eigenen Daten; Klirry ist nicht dessen Auftragsverarbeiter, und Wix ist kein Unterauftragsverarbeiter von Klirry. | Bestellungen (Suche in eCommerce-Bestellungen, ein Lesezugriff). Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (ein API-Schlüssel mit der Berechtigung eCommerce-Bestellungen lesen) | Löschen Sie den API-Schlüssel in Ihrem Wix-Konto oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Quickbutik | Vorbereitet, Kunden noch nicht angeboten. Quellplattform. Quickbutik ist ein eigenständiger Verantwortlicher für die eigenen Daten; Klirry ist nicht dessen Auftragsverarbeiter, und Quickbutik ist kein Unterauftragsverarbeiter von Klirry. | Bestellungen über die Shop-API (nur JSON GET). Kein Kundenname, keine E-Mail-Adresse, Anschrift oder Telefonnummer wird gespeichert | Schreibgeschützt (der von Ihnen erstellte API-Schlüssel des Shops) | Löschen oder erneuern Sie den API-Schlüssel in Ihrem Quickbutik-Konto oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| PayPal | Vorbereitet, Kunden noch nicht angeboten. Quelle für Zahlungsgebühren. PayPal ist ein eigenständiger Verantwortlicher für die eigenen Daten; Klirry ist nicht dessen Auftragsverarbeiter, und PayPal ist kein Unterauftragsverarbeiter von Klirry. | Transaktionen und ihre Gebühren aus dem Bericht Transaction Search. Kein Zahlername und keine E-Mail werden gespeichert | Schreibgeschützt (eine von Ihnen erstellte REST-App mit Transaction Search) | Löschen Sie die REST-App im PayPal-Entwicklerdashboard oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Stripe (Ihr eigenes Stripe-Konto) | Vorbereitet, Kunden noch nicht angeboten. Quelle für Zahlungsgebühren aus dem Stripe-Konto, das SIE bei Stripe haben. Das ist ein anderes Verhältnis als Klirrys eigene Nutzung von Stripe zur Abrechnung seiner Kunden (siehe Anbieterliste): Hier ist Stripe ein eigenständiger Verantwortlicher für Ihre Kontodaten, und Klirry liest sie nur. | Zahlungen und Saldotransaktionen, um die tatsächlichen Gebühren zu erfahren. Keine Karteninhaber- oder Kundendaten werden gespeichert | Schreibgeschützt (ein eingeschränkter Schlüssel mit Charges: Read und Balance Transactions: Read) | Löschen Sie den eingeschränkten Schlüssel in Ihrem Stripe-Dashboard (Developers, API keys) oder trennen Sie sie in Klirry unter Einstellungen, Verbindungen (Klirry hört sofort auf zu lesen) |
| Slack (Ihr eigener Workspace) | Ein Ziel, das SIE wählen: Wenn Sie eine eingehende Webhook-URL Ihres eigenen Slack-Workspace einfügen, sendet Klirry Warnungen zusätzlich zur E-Mail dorthin. Klirry hat keinen eigenen Slack-Workspace, der Kundendaten empfängt. Slack ist ein eigenständiger Verantwortlicher für die Nachrichten in Ihrem Workspace; Slack ist kein Unterauftragsverarbeiter von Klirry. | Es wird nichts gelesen. Klirry sendet den Entscheidungssatz einer Warn-E-Mail und einen Link zur Entscheidungsseite an den von Ihnen eingerichteten Webhook | Nur Senden, an Ihren eigenen Webhook | Löschen Sie den eingehenden Webhook in Slack oder entfernen Sie die Slack-Adresse in Klirry unter Einstellungen |
Änderungen und Mitteilung
Eine Änderung dieser Liste nach ihrem Inkrafttreten (ein Dienstleister wird hinzugefügt oder ersetzt) wird den Kunden per E-Mail mindestens 30 Tage vor ihrem Wirksamwerden mitgeteilt (AVV 3.3), mit Widerspruchsrecht (3.4). Jeder kann diese Mitteilungen auch mit seiner E-Mail-Adresse auf der öffentlichen Seite /legal/subprocessors abonnieren (Double-Opt-in; die Adresse wird nur für Mitteilungen über Unterauftragsverarbeiter verwendet und getrennt von der Marketingliste geführt).
Anmerkungen
- Hetzners Zeile betrifft Rechenleistung und Datenbankspeicher. Verschlüsselte Dumps vor Releases verbleiben auf dem Produktionsserver; eine nächtliche Kopie außerhalb des Servers ist noch nicht in Betrieb, sodass heute kein anderer Unterauftragsverarbeiter Backup-Daten hält.
- Verbindungszugangsdaten und Zwei-Faktor-Geheimnisse werden auf Anwendungsebene im Ruhezustand verschlüsselt (AES-256-GCM); der Schlüssel liegt außerhalb der Datenbank. Eine Festplattenvollverschlüsselung des Produktionsvolumes ist noch nicht vorhanden.
- Keine KI/ML-Unterauftragsverarbeiter verarbeiten Bestell- oder Ausgabendaten der Kunden.
- Noch nicht gewählt: externe Verfügbarkeitsüberwachung. Sie wird, mit Mitteilung, ins Register aufgenommen, falls sie personenbezogene Daten verarbeiten würde.
- Alarme an Klirrys Betreiber werden per E-Mail über den Anbieter für transaktionale E-Mails gesendet; kein Chatdienst erhält Daten.
- Quellcode-Hosting (GitHub), der Container-Build auf dem Hetzner-Host und der Domain-Registrar verarbeiten keine Kundendaten und sind keine Unterauftragsverarbeiter.
Änderungsprotokoll
Eine Änderung dieser Liste ist eine Änderung der Unterauftragsverarbeiter und wird den Kunden nach demselben 30-Tage-Mechanismus mitgeteilt wie eine wesentliche Änderung der Bedingungen. Eine Zeile mit Wirksamkeitsdatum nennt das Datum der Mitteilung, mindestens 30 Tage zuvor.
| Version | Datum | Mitgeteilt | Wirksam | Änderung |
|---|---|---|---|---|
| 1.0 | 2026-10-10 | Erstveröffentlichung | 2026-10-10 | Erste veröffentlichte Fassung der Liste. |
| 1.1 | 2026-10-11 | nicht erforderlich (geringfügige Änderung) | 2026-10-11 | Liste der verbundenen Plattformen erweitert; sie nennt nun Slack als ein von Ihnen gewähltes Ziel; Statushinweis für Stripe (geplant bis zum Live-Modus) hinzugefügt. Keine Änderungen bei den Unterauftragsverarbeitern. Geringfügige Änderung: noch kein Kunde ist im Live-Modus, es kommt kein Unterauftragsverarbeiter hinzu, und Fristen werden nur kürzer oder betreffen neue Klassen, daher keine 30-Tage-Ankündigung. |