Sechs Dritte kommen heute mit VINCHY-Daten in Berührung. Jeder steht hier mit Zweck, Datenkategorien, Standort und der Rechtsgrundlage, auf der Daten die EU verlassen dürfen – sofern sie es tun. Diese Seite ist die maßgebliche Liste, auf die unser Auftragsverarbeitungsvertrag (AVV) verweist; ändert sie sich, ändert sich das Datum oben mit.
Reihenfolge nach Datenfluss: Speicherung, API, KI, E-Mail, SMS, Analytik. „Übermittlungsgrundlage“ nennt, was eine Verarbeitung außerhalb der EU erlaubt; „nicht erforderlich“ heißt: die Daten verlassen die EU nicht.
| Anbieter | Zweck | Datenkategorien | Standort | Übermittlungsgrundlage |
|---|---|---|---|---|
| Supabase, Inc. San Francisco, USA · EU-Hosting | Datenbank und Speicher (PostgreSQL) für alle Anwendungsdaten | Audit-Kette, Freigaben, Agentenregister, Konversationen, Kontodaten | Frankfurt am Main — AWS eu-central-1 | Hosting: nicht erforderlich (EU). Support-Zugriffe: auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO; Supabase-DPA) |
| Vercel, Inc. San Francisco, USA · EU-Funktionen | Hosting: Serverless-API-Funktionen, statische Seiten, TLS | Anfragedaten im Transit; keine Datensätze gespeichert | Funktionen: Frankfurt (fra1). Statische Seiten und TLS: nächstgelegener Edge-Knoten | Funktionen: nicht erforderlich (fra1). Edge-Auslieferung und Support: EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln (Vercel-DPA) |
| Mistral AI SAS Paris, Frankreich | KI-Inferenz: Richtlinienprüfung, Assistent, Sprache (Voxtral STT/TTS), Dokumentlesen (OCR) | Prompt-Text, Audio-Clips, Dokumentbilder je Anfrage | Rechenzentren EU/EFTA über Regionalendpunkt api.eu.mistral.ai (Azure SE/NO, Google Cloud NL/BE, Mistral Compute FR, CoreWeave EWR) | Nicht erforderlich; Mistral Data Processing Addendum; Zero Data Retention aktiv für unsere Organisation auf allen fünf Endpunkten (schriftlich bestätigt am 15.10.2026); API-Daten nicht für Training verwendet |
| Plus Five Five, Inc. (Resend) San Francisco, USA | E-Mail-Versand: Freigabe-Benachrichtigungen, Einladungen, Bestätigungslinks — und E-Mails, die Agenten nach Freigabe an Dritte senden | Empfängeradresse, Betreff, E-Mail-Inhalt | Versand über Irland (Region eu-west-1; Sendedomain vinchy.ai dort verifiziert). Nachrichteninhalte, Logs und Kontodaten werden in den USA gespeichert | EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln (Resend-DPA) |
| Twilio, Inc. San Francisco, USA | SMS — Erinnerungen und Nachrichten, die Agenten nach Freigabe an Dritte senden, nur nach Double-Opt-in des Empfängers | Telefonnummer, Nachrichtentext | USA | EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln (Twilio-DPA) |
| Google Ireland Ltd. Dublin, Irland (Google LLC, USA) | Website-Analytik (GA4) nur auf öffentlichen Marketingseiten und nur nach Cookie-Einwilligung; die Anwendung enthält keine Analytik | Pseudonyme Nutzungsdaten, gekürzte IP | EU / USA | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Google Ads Data Processing Terms inkl. SCC / DPF |
Status im EU-US Data Privacy Framework geprüft am 18.10.2026 (dataprivacyframework.gov): Vercel, Inc., Twilio Inc. und Plus Five Five, Inc. (Resend) aktiv. Supabase ist nicht zertifiziert; Support-Zugriffe erfolgen auf Grundlage der EU-Standardvertragsklauseln. Entfällt eine Zertifizierung, erfolgt die betreffende Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Beendet: OpenAI (Sprach-Vorschau) — am 14. Oktober 2026 entfernt; seitdem gehen keine VINCHY-Daten an OpenAI.
Bevor ein neuer Unterauftragsverarbeiter Kundendaten erhält, wird diese Seite aktualisiert und das Datum oben ändert sich. Kunden mit unterzeichnetem AVV werden per E-Mail an ihre Kontoadresse informiert und können nach dem AVV innerhalb von 30 Tagen widersprechen. Wir ergänzen Unterauftragsverarbeiter nicht stillschweigend.
Unseren Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit dieser Liste als Anlage, die Anbieter-DPAs, auf die wir uns stützen, und einen datierten PDF-Export dieser Seite. Schreiben Sie an hallo@sigoo.de – es antwortet das Team, das VINCHY betreibt, kein Callcenter.
VINCHY wird von DreamSoft AI Studio entwickelt und betrieben, dem KI-Studio der SIGOO GmbH – einem deutschen Software- und Designhaus, das seit 2012 Systeme für Unternehmen und öffentliche Einrichtungen baut. Die SIGOO GmbH ist Rechtsträger und Vertragspartner (siehe Impressum). Fragen zur Datenverarbeitung gehen an hallo@sigoo.de.
Weil Ehrlichkeit wichtiger ist als eine sauber aussehende Liste. Supabase, Vercel und Resend verarbeiten VINCHY-Daten innerhalb der EU, haben aber ihren Sitz in den USA, und ihr Personal könnte zu Support-Zwecken grundsätzlich auf Systeme zugreifen. Genau dafür benennen wir das und stützen uns auf deren DPAs mit Standardvertragsklauseln.
Datensätze (Datenbank), Serverfunktionen und KI-Inferenz bleiben in der EU. Diese verlassen sie: E-Mail über Resend (Nachrichteninhalte, Logs und Kontodaten werden in den USA gespeichert), SMS über Twilio (USA), einwilligungspflichtige Website-Analytik (GA4) und — nur für statische Seiten und Support — das Edge-Netz von Vercel. Die Übermittlungsgrundlage steht jeweils in der Tabelle oben. Die Komponentenkarte: Wo Ihre Daten liegen.
Nein. VINCHY trainiert nie Modelle mit Kundendaten. Bei Mistral AI ist der organisationsweite Trainings-Opt-out gesetzt und Labs-Modelle sind deaktiviert; ein Zero-Data-Retention-Antrag läuft. Kein anderer gelisteter Anbieter erhält Prompts oder Dokumente.
Ja. Fordern Sie den AVV (Art. 28 DSGVO) mit dieser Liste als Anlage 3 unter hallo@sigoo.de an. Die datierte Fassung dieser Seite ist die verbindliche Liste.
Fordern Sie den Auftragsverarbeitungsvertrag mit dieser Liste als Anlage an. Wir antworten innerhalb von zwei Werktagen.
AVV anfordern