Datenschutz & Sicherheit
Art. 28 Abs. 2 DSGVO
Subprozessoren
Yes Technology GmbH setzt zur Erbringung von Yes Retail die nachfolgenden Subunternehmer (Subprozessoren) ein, die personenbezogene Daten in unserem Auftrag verarbeiten können. Diese Liste ist versioniert; über geplante Neuaufnahmen oder Ersetzungen von Subprozessoren informieren wir unsere Kunden mindestens 30 Tage im Voraus und geben ihnen Gelegenheit zum Widerspruch (Art. 28 Abs. 2 DSGVO).
Legende Transfermechanismus
- EU – Verarbeitung in der EU/im EWR, kein Drittlandtransfer.
- SCC bzw. DPF – bei Verarbeitung außerhalb der EU/des EWR stützt sich der Transfer auf EU-Standardvertragsklauseln (SCC) bzw. das EU-US Data Privacy Framework.
A. Infrastruktur & Hosting
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| Supabase | Primärdatenbank, Authentifizierung, Datei-/Foto-/Sprachspeicher, Realtime | Alle Datenkategorien | EU (Frankfurt, Deutschland) | EU – kein Drittlandtransfer |
| Cloudflare | API-Edge (Workers), CDN, Web Application Firewall | Sämtlicher API-Verkehr transitiert | Global | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Vercel | Hosting von Frontend und Anmelde-App | Auslieferung der Anwendung; Auth-Callbacks | Global | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Render | Analytics-Server und Valkey/Redis-Cache | Abfrageverkehr über Kunden- und Vertriebsdaten; Cache-Daten | EU (Frankfurt, Deutschland) | EU – kein Drittlandtransfer |
B. KI / LLM
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| OpenAI | Sprachtranskription (Speech-to-Text), Sprachausgabe (Text-to-Speech), LLM-Auswertungen (Field Intelligence, Briefings), Embeddings | Sprachaufnahmen und Transkripte, Besuchsnotizen, Kunden- und Kontaktdaten | USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Anthropic PBC | KI-Sprachmodell für den Analytics-Studio-Chat und den optionalen Messaging-Assistenten | Aggregierte CRM-Daten, Marktnamen und -adressen, Fragen der Nutzer | USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
Hinweis: Über die OpenAI- und Anthropic-APIs übermittelte Daten werden nach Anbieterangaben standardmäßig nicht zum Training der jeweiligen Modelle verwendet.
C. Analytics & Monitoring
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| OpenPanel | Produktanalytics | Name, E-Mail, Rolle und Organisation der App-Nutzer; Event-Daten werden vor Versand von personenbezogenen Inhalten bereinigt | EU | EU – kein Drittlandtransfer |
| Sentry | Fehler- und Performance-Monitoring | Fehlermeldungen, Request-Kontext, Nutzerkontext (kann im Einzelfall personenbezogene Daten enthalten) | EU (Ingest in Deutschland) | EU – kein Drittlandtransfer |
D. Hintergrundjobs, E-Mail, Karten & Integrationen
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| Trigger.dev | Ausführung von Hintergrundjobs (Import, Transkription, Exporte, Benachrichtigungen) | Umfangreiche Datenkategorien in Job-Payloads | EU (AWS eu-central-1, Frankfurt) | EU – kein Drittlandtransfer |
| Resend | Transaktionale E-Mails | Empfängername, E-Mail-Adresse, Nachrichteninhalt | USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Mapbox | Kartendarstellung und Routing | Marktkoordinaten und -adressen, Routen der Außendienstmitarbeiter | Global | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Google (Maps/Places) | Geokodierung und Anreicherung von Marktdaten | Marktname und vollständige Adresse | Global (USA) | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Google (Calendar/Gmail) | Optionale Kalender-Synchronisation und E-Mail-Versand je Nutzer | Besuchszusammenfassung, Kundenadresse, Empfänger-E-Mail und Inhalt | Global (USA) | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Google (OAuth-Login) | Anmeldung „Mit Google anmelden“ (Identity Provider) | Nutzeridentität, OAuth-Token | Global (USA) | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Microsoft / Azure AD | Anmeldung „Mit Microsoft anmelden“ (Identity Provider) | Nutzeridentität, OAuth-Token | Global (USA) | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Portatour (impactit GmbH) | Externe Routen- und Tourenplanung; Datenübermittlung nur zur Tourenberechnung, keine dauerhafte Speicherung beim Anbieter | Kundennamen, Straße/PLZ/Ort, Koordinaten | EU/EWR (nach Anbieterangaben in ISO-27001:2022-zertifizierten Rechenzentren) | EU – kein Drittlandtransfer |
| Push-Dienste (Apple APNs, Google FCM, Mozilla) | Zustellung von Push-Benachrichtigungen (Web Push mit eigenen VAPID-Schlüsseln) | Push-Endpunkt und Benachrichtigungsinhalt | Abhängig vom Endgerät/Browser des Nutzers | Nutzungsbedingungen des jeweiligen Plattformanbieters |
E. Messaging-Kanäle (optional, je Organisation freischaltbar)
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| Meta Platforms Ireland Ltd (WhatsApp Business Platform) | Optionaler Assistenz-Kanal für Außendienstmitarbeitende: Empfang und Beantwortung von Nachrichten und Fotos, Versand von Dokumenten sowie – von den Mitarbeitenden jederzeit abschaltbare – Benachrichtigungen zu Bestellungen, Lieferungen und Terminen | WhatsApp-ID (Telefonnummer) und Profilname der Mitarbeitenden; Nachrichteninhalte beschränkt auf Marktnamen und -adressen, Auftrags- und Besuchsdaten, weitergeleitete Fotos/Belege und erzeugte PDF-Dokumente – keine Daten von Ansprechpersonen | EU (Irland) und USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework; Meta ist Auftragsverarbeiter für Nachrichteninhalte und eigenständig Verantwortlicher für Konto- und Plattformdaten |
| Slack Technologies, LLC (Salesforce) | Optionaler Assistenz-Kanal per Slack-Direktnachricht (ein Workspace je Installation) | Slack-Nutzer-ID, Workspace-ID und Anzeigename der Mitarbeitenden; Nachrichteninhalte wie oben | USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
Diese Kanäle sind nur aktiv, wenn Ihre Organisation sie freischaltet und die einzelne Mitarbeiterin bzw. der einzelne Mitarbeiter das eigene Konto verknüpft. Angekündigt am 8. September 2026; wirksam frühestens 30 Tage nach Zugang der Ankündigung.
F. Dienstleister der Website (www.yesretail.de)
| Subprozessor | Zweck | Datenkategorien | Region | Transfermechanismus |
|---|---|---|---|---|
| Sanity | Content-Management und Live-Aktualisierung veröffentlichter Website-Inhalte | IP-Adresse und User-Agent der Website-Besucher beim Abruf | Global | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
| Cal.com | Terminbuchung für Produktdemos; lädt erst beim Öffnen des Buchungsdialogs | IP-Adresse; bei Buchung Name, E-Mail-Adresse und Terminwahl | USA | EU-Standardvertragsklauseln (SCC) bzw. EU-US Data Privacy Framework |
Diese Dienste verarbeiten ausschließlich Daten von Besuchern unserer Website – hierfür ist die Yes Technology GmbH Verantwortlicher, nicht Auftragsverarbeiter. Sie sind der Vollständigkeit halber aufgeführt; Details enthält die Datenschutzerklärung.
Stand: 8. September 2026 (Version 2026-09-08). Änderungen an dieser Liste kündigen wir mindestens 30 Tage im Voraus an.