Was sind Unterauftragsverarbeiter?
Unterauftragsverarbeiter sind Dritte, die personenbezogene Daten im Auftrag von Vytrix verarbeiten. Nach der DSGVO sind wir verpflichtet, sie zu identifizieren, mit ihnen einen Auftragsverarbeitungsvertrag (AVV) abzuschließen und zumindest Änderungen an dieser Liste vorzunehmen 30 Tage vor dem Datum des Inkrafttretens bekannt zu geben.
Haben Sie aus Datenschutzgründen Einwände gegen einen neuen Unterauftragsverarbeiter? Kontaktieren Sie uns unter privacy@vytrix.app vor dem Datum des Inkrafttretens.
Aktuelle Unterauftragsverarbeiter (August 2026)
| Unterauftragsverarbeiter | Ziel | Standort | Übertragungsmechanismus |
|---|---|---|---|
| Supabase Inc. | Datenbank-, Authentifizierungs-, Speicher- und Backend-Edge-Funktionen | Primäre Projektregion für Datenbank, Authentifizierung und Speicherung: EU (Irland – AWS eu-west-1); sonstige Verarbeitung gemäß den Supabase-Bedingungen | DPA + SCCs |
| Amazon Web Services (AWS) | Cloud-Infrastruktur (Unterauftragsverarbeiter von Supabase) | Primäre Projektinfrastruktur EU (Irland); Support und sonstige Verarbeitung gemäß der Supabase DPA | Über Supabase DPA |
| Google Ireland Limited (Firebase Crashlytics + Cloud Messaging) | Absturzberichte und Push-Benachrichtigungen | EU + grenzüberschreitend | EU-US DPF+ Google-Datenschutzbehörde mit SCCs |
| RevenueCat Inc. | Abonnementverwaltung und IAP-Berechtigungen | USA | EU-US DPF+ RevenueCat DPA mit SCCs |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Web-Checkout und Affiliate-Auszahlungen) | EU (Irland) / USA | EU-US DPF+ Stripe DPA mit SCCs |
| Google Cloud (Vertex AI) | KI Coach (Chat) und Fotoanalyse von Mahlzeiten/Produkten | EU-Multiregion (eu) | Google Cloud-DPA + konfigurierte EU-Verarbeitung |
| OpenAI | Lesen von Nährwertkennzeichnungen, Zutaten und optionalen Produktfotos im Produktetikettenscanner | Internationale Abwicklung | DPA + SCCs, sofern zutreffend |
| Apple Inc. (App Store, IAP, Anmelden mit Apple) | App-Verteilung und Authentifizierung | USA/EU | DPF + Apple Entwicklervereinbarung |
| Google LLC (Google Play, Abrechnung abspielen, Mit Google anmelden) | App-Verteilung und Authentifizierung | USA/EU | DPF + Google Play Entwicklervertriebsvereinbarung |
| Erneut senden (Plus Five Five, Inc.) | Double-Opt-In-Bestätigung und erst nach Bestätigung Skalierung von Produktaktualisierungen | USA (primäre Verarbeitung und Lagerung) | DPA erneut senden + EU-US DPF + SCCs |
| Vercel Inc. | Website-Hosting, Vercel Analytics und Speed Insights | EU + internationale Infrastruktur | DPA + SCCs, sofern zutreffend |
| PostHog Inc. | Optionale Website-Produktanalyse, nur nach ausdrücklicher Genehmigung | EU-Cloud-Endpunkt + internationaler Dienstleister | DPA + SCCs, sofern zutreffend |
Zur Skalierung des Interesses über die App oder Website speichert Supabase die E-Mail-Adresse, das einzelne Produkt, die Absicht, die Quelle, das Gebietsschema, das optionale Land/die Region, die Einwilligungsversion sowie Metadaten zur Bestätigung, Abmeldung und Anbieterakzeptanz. Resend erhält nur das, was für Empfänger, E-Mail-Inhalt und Zustellung notwendig ist. Trainings-, Gesundheits-, Ernährungs- und Zyklusdaten werden nicht erneut gesendet. Nur ausgefüllte Double-Opt-In-Datensätze, die nicht abgemeldet wurden, dürfen später Produktaktualisierungen erhalten.
Welche Daten gehen an welchen Unterauftragsverarbeiter?
| Kategorie | Supabase | Feuerbasis | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Konto (Name, E-Mail) | Ja | Nur Ausweis, zum Pushen | Nur Ausweis, Berechtigungen | Nein |
| Schulungstermine | Ja | Nein | Nein | Nein |
| Ernährungsdaten | Ja | Nein | Nein | Nur per Foto-KI |
| Schlaf / Körper / Herzfrequenz | Ja | Nein (ausgenommen von Crashlytics-Schlüsseln) | Nein | Nur wenn der Benutzer dazu auffordert |
| Fortschrittsfotos | Ja (privater Eimer) | Nein | Nein | Nein |
| Essensfotos / Vertex-Produktfotos | Nein (kurzfristiges Gedächtnis) | Nein | Nein | Ja (kurzlebig, nicht aufbewahrt – EU) |
| Menstruationszyklus | Ja (Hauptprojektregion Irland) | Nein | Nein | Nein |
| Sozialer Inhalt | Ja | Nein | Nein | Nein |
| Absturzprotokolle (keine PII / keine Gesundheit) | Nein | Ja | Nein | Nein |
| Abonnement-Transaktionsdaten | Berechtigungsstatus | Nein | Ja | Nein |
Außerhalb dieser kompakten Matrix kann der Produktetikettenscanner Fotos des Etiketts, der Zutatenliste und der Vorderseite der Verpackung sowie etwaige Barcodes und vorhandene Produktnamen an OpenAI senden. Vercel verarbeitet Website-Traffic und technische Leistungsdaten. PostHog verarbeitet freigegebene Website-Ereignisse nur nach ausdrücklicher Genehmigung; URL-Abfragen und Snippets sind nicht enthalten und rechtliche Seiten sind ausgeschlossen.
Besondere Garantien pro Unterauftragsverarbeiter
Supabase – Art. 9 Gesundheitsdaten
- Vytrix hat eine schriftliche Bestätigung erhalten/angefordert, dass die Verarbeitung von Art. 9 Gesundheitsdaten fallen in den vereinbarten Umfang
- Die primäre Projektregion für Datenbank, Authentifizierung und Speicherung ist Irland (
eu-west-1). Backups, Support und andere Verarbeitung unterliegen den aktuellen Supabase DPA- und Unterauftragsverarbeiterbedingungen; Dies ist keine absolute EU-Garantie.
Firebase Crashlytics – Ausschluss von Gesundheitsdaten
- Die IP-Erfassung ist deaktiviert
- Enthalten benutzerdefinierte Schlüssel und Protokolle geen persönliche Trainings-, Gesundheits-, Ernährungs- oder Zyklusdaten
- Nur technische Felder (App-Version, Betriebssystemversion, Gerätemodell) und pseudonymisierte Benutzer-ID
RevenueCat – Ausschluss von Art. 9
- Das DPA von RevenueCat verbietet Art. 9 Daten
- Wir senden nur Attribut-IDs und Transaktionsdaten; kein Link zu Gesundheitsdaten oder Zyklusdaten
Google Vertex AI – EU-Wohnsitz + Metadatenstreifen
- Abwicklung über die EU-Multiregion
eu; Vertex AI verwendet keine Eingabeaufforderungen oder Bilder für das Modelltraining - EXIF-Metadaten werden vor dem Hochladen aus den Fotos entfernt
- Keine Kontokennungen oder E-Mail-Adressen in Eingabeaufforderungen
- Foto-AI verfügt über ein Kill-Switch-Flag zur globalen Deaktivierung
OpenAI – Produktetikettenscanner
- Für diesen Scan werden nur die Produktfotos und der vom Benutzer ausgewählte notwendige Kontext (ggf. Barcode und vorhandener Produktname) gesendet; Keine Konto-ID oder E-Mail-Adresse.
- Die internationale Verarbeitung unterliegt den geltenden DPA- und Weitergabeschutzbestimmungen.
Vercel und PostHog – Website
- Vercel bietet Website-Hosting und Cookie-freie technische Webstatistiken; URL-Abfragen und Snippets werden entfernt.
- PostHog wird nur nach ausdrücklicher Genehmigung geladen. DNT und Global Privacy Control gelten als Ablehnung; Rechtsseiten verwenden PostHog nicht.
Erneut senden – Mindesttermine für den Versand und US-Überweisung
- Die primäre Verarbeitung und Lagerung erfolgt in den USA; Eine europäische Versandregion ändert den Lagerort nicht.
- Übertragungen basieren auf den Resend DPA, DPF und SCCs.
- Nur durch Double-Opt-In bestätigte, abgemeldete Datensätze dürfen Aktualisierungen erhalten. Jedes Update enthält einen persönlichen Abmeldelink, der die Einwilligung sofort widerruft; Für eine erneute Anmeldung ist ein erneutes Double-Opt-In erforderlich.
Wie gehen wir mit Veränderungen um?
- Neuer Unterauftragsverarbeiter: Veröffentlichung mindestens 30 Tage im Voraus auf dieser Seite + E-Mail-Benachrichtigung an registrierte Benutzer.
- Einspruch: via privacy@vytrix.app. Im Falle eines begründeten Einspruchs werden wir nach einer Alternative suchen; Wenn das nicht funktioniert, können Sie Ihr Konto kündigen und erhalten eine Rückerstattung der im Voraus bezahlten Abonnementgebühren.
- Ortswechsel oder Übertragungsmechanismus: Veröffentlichung + E-Mail.
- Entfernung eines Unterauftragsverarbeiters: Veröffentlichung; Daten werden vom Auftragsverarbeiter innerhalb von 90 Tagen gelöscht oder zurückgegeben.
Kontakt
Fragen zu Unterauftragsverarbeitern? privacy@vytrix.app