Sub-Processors

REALTRAX wendet die eigene Methodik auf den eigenen Stack an. Jeder Lieferant durchläuft ein K1–K9-Self-Audit; die Werte stehen hier öffentlich.

Sieben von zwölf Komponenten erreichen Stufe Souverän oder höher. Die beiden US-Positionen sowie die Index-Dienstleister (Scaleway, ScrapingBee) verarbeiten keine personenbezogenen Kundendaten.

Hetzner Cloud

Hosting + self-hosted ServicesAVV offen

EU-DElow17/18Eigentümer

All-Inkl

Domain-Registrar + DNSAVV offen

EU-DElow17/18Eigentümer

Brevo (Sendinblue SAS)Sitz Paris (FR); Datenverarbeitung in der EU (Frankreich/Belgien), Support-Zugriff aus den USA und Indien möglich.

E-Mail transaktional + MarketingAVV offen

EU-Otherlow10/18Geschützt

Plausible Analytics

Web-AnalyticsAVV offen

EU-Otherlow17/18Eigentümer

BunnyCDN

CDN (Phase 2)AVV offen

EU-Otherlow14/18Souverän

Supabase

DB + Auth + Storage (EU-Frankfurt)AVV offen

EU-DEmedium13/18Souverän

Scaleway SASSitz Paris (Iliad-Gruppe, FR), eigene Rechenzentren fr-par. Verarbeitet ausschließlich öffentliche Vendor-Dokumente für den Index (Drift-Triage, Evidence-Extraktion) — keine Kundendaten. Kein Training auf API-Daten, Zero-Retention per Default (Anbieter-Doku). DPA Bestandteil des Rahmenvertrags. Self-Audit vorläufig (Stand 19.07.2026).

LLM-Inferenz + Embeddings (Index-Pipeline, Paris fr-par)AVV signiert

EU-Otherlow13/18Souverän

PaddleAls Merchant of Record ist Paddle eigener Verantwortlicher für Zahlungs- und Rechnungsdaten — daher kein AVV. Datenminimierung: Paddle erhält von REALTRAX nur die E-Mail-Adresse und eine gehashte Kunden-ID, keine Namens-, Firmen- oder Tarifdaten. Rechtsgrundlage: UK-Angemessenheitsbeschluss (Art. 45 DSGVO).

Payment / Merchant of RecordAVV n/a

UKmedium6/18Eingeschränkt

GitHub

Code-Hosting (kein PII)AVV n/a

USmedium10/18Geschützt

ScrapingBee SASSitz Paris (FR). Ruft im Auftrag ausschließlich öffentlich erreichbare Vertrags-/Rechtsseiten von Software-Anbietern ab (Härtefälle mit Bot-Schutz) — keine personenbezogenen Kundendaten, daher kein AVV erforderlich. Proxy-Infrastruktur global. Self-Audit vorläufig (Stand 19.07.2026).

Abruf öffentlicher Vendor-Dokumente (Evidence-Watcher, Stufe 3)AVV n/a

EU-Othermedium9/18Geschützt

Anthropic PBCEinsatz für internes Tooling und den Aufbau des öffentlichen Anbieter-Index (Recherche/Scoring auf öffentlichen Anbieterdaten). Die Verarbeitung von Kundenstacks im Produkt erfolgt deterministisch ohne KI — es findet kein Anthropic-Aufruf auf Kundendaten statt.

Claude (Cowork + API)AVV signiert

UShigh9/18Geschützt

Der AVV-Status wird laufend gepflegt. Stand: Juli 2026.