Sub-Prozessoren
Stand: 13. Juni 2026
Mandatio Plus setzt zur Erbringung der vertraglich vereinbarten Leistungen Drittanbieter („Sub-Prozessoren") ein. Diese Seite listet alle derzeit eingesetzten Sub-Prozessoren auf, jeweils mit Sitz, konkreter Verarbeitungsregion, Verarbeitungszweck und Vertragsstand. Sie ist Bestandteil unseres Auftragsverarbeitungsvertrags (siehe DPA-Akzeptanz im Mandatio- Plus-Onboarding).
Vertrags-Status — was die Spalten bedeuten
- AVV — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- SCC — EU-Standardvertragsklauseln in der Fassung (EU) 2021/914, für den Fall dass der Anbieter konzernseitig mit den USA verbunden ist.
Cloudflare, Inc.
Anbieter-DPA- Sitz
- San Francisco, USA
- Verarbeitungsregion
- Europa (CF-Workers Edge, Frankfurt nahe)
- Verarbeitungszweck
- Mail-Proxy-Worker: empfängt eingehende Mandantenmails von Postmark und leitet sie an unsere Server weiter. Body wird kurzzeitig im RAM verarbeitet, nicht persistiert.
- Datenkategorien
- E-Mail-Header und -Body (kurzzeitig)
- Datei-Anhänge (kurzzeitig)
AVV (Art. 28)Vorhanden (Standard-Terms)
SCCVorhanden (Standard-Terms)
Postmark (ActiveCampaign LLC)
Anbieter-DPA- Sitz
- Chicago, USA
- Verarbeitungsregion
- USA (Postmark-Server)
- Verarbeitungszweck
- E-Mail-Versand und Inbound-Verarbeitung. Eingehende Mandantenmails werden hier empfangen und ausgehende Antworten verschickt.
- Datenkategorien
- Absender + Empfänger-Adressen
- E-Mail-Header und -Body
- Datei-Anhänge
AVV (Art. 28)Vorhanden
SCCVorhanden
Vercel, Inc.
Anbieter-DPA- Sitz
- San Francisco, USA
- Verarbeitungsregion
- Frankfurt am Main, Deutschland (fra1-Region)
- Verarbeitungszweck
- Application Hosting: führt unseren Code aus, verarbeitet Webhook-Eingänge, generiert KI-Anfragen, rendert das Dashboard.
- Datenkategorien
- Alle Mandantendaten während der Verarbeitung im RAM
- Anwendungs-Logs (kurzzeitig, ohne Klartext-Mailinhalt)
AVV (Art. 28)Vorhanden
SCCVorhanden
Supabase, Inc.
Anbieter-DPA- Sitz
- San Francisco, USA
- Verarbeitungsregion
- Frankfurt am Main, Deutschland (eu-central-1)
- Verarbeitungszweck
- Datenbank, Authentifizierung und Datei-Storage. Hier liegen Mandantenstammdaten, E-Mail-Threads, Belege, Bescheide, Antwortentwürfe.
- Datenkategorien
- Mandantenstammdaten (Name, E-Mail, Adresse)
- E-Mail-Threads
- Belege, Kontoauszüge, Bescheide (PDF/Bild)
- Antwortentwürfe
- Auth-Daten (Passwort-Hash, Sessions)
AVV (Art. 28)Vorhanden
SCCVorhanden
Anthropic PBC
Anbieter-DPA- Sitz
- San Francisco, USA
- Verarbeitungsregion
- Europa (Anthropic EU-Endpoint, Frankfurt + Dublin)
- Verarbeitungszweck
- KI-Klassifizierung eingehender Mails, KI-generierung von Antwortentwürfen, Vision-OCR von Belegen und Kontoauszügen.
- Datenkategorien
- E-Mail-Inhalte (vor Übermittlung pseudonymisiert: Steuernummern, IBANs, Telefonnummern und Mandantennamen werden durch generische Platzhalter ersetzt)
- Wissensbasis-Auszüge (als Kontext für Drafts)
- Belege, Kontoauszüge und Bescheide (Dokumenten-Analyse im Original — diese Dokumente können personenbezogene Daten wie Namen oder IBANs enthalten; Schutz über AVV, vertraglichen Trainings-Ausschluss und Löschung beim Anbieter nach spätestens 30 Tagen)
AVV (Art. 28)Vorhanden
SCCVorhanden
OpenAI, L.L.C.
Anbieter-DPA- Sitz
- San Francisco, USA
- Verarbeitungsregion
- Europa (OpenAI EU-Datacenter, Irland)
- Verarbeitungszweck
- Erstellung von Vektor-Embeddings für die semantische Suche in der Wissensbasis. Keine Generierung von Texten oder Vision-Analyse.
- Datenkategorien
- Wissensbasis-Texte (zur Vektorisierung)
- Eingehende Mail-Auszüge (zur Ähnlichkeits-Suche)
AVV (Art. 28)Vorhanden
SCCVorhanden
Stripe Payments Europe Ltd. (Stripe, Inc.)
Anbieter-DPA- Sitz
- Dublin, Irland (Mutterkonzern USA)
- Verarbeitungsregion
- Europa (Dublin)
- Verarbeitungszweck
- Abrechnung der Mandatio-Plus-Abos. Verarbeitet Zahlungsdaten der Kanzlei (nicht der Mandanten der Kanzlei).
- Datenkategorien
- Rechnungs-Anschrift der Kanzlei
- Zahlungs-Methoden-Daten (von Stripe selbst, nicht uns übermittelt)
- Abo-Status und Tarif
AVV (Art. 28)Vorhanden
SCCVorhanden
Änderungen und Widerspruchsrecht
Beabsichtigte Änderungen an dieser Liste (Hinzuziehung oder Ersetzung eines Sub-Prozessors) werden der Kanzlei mit einer Vorlauffrist von 30 Tagen per E-Mail an die im Profil hinterlegte Adresse mitgeteilt. Die Kanzlei kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen; bei berechtigtem Widerspruch besteht ein Sonderkündigungsrecht.
Fragen?
Schreiben Sie uns gerne an info@mandatioplus.de.