Sechs Dritte kommen heute mit VINCHY-Daten in Berührung. Jeder steht hier mit Zweck, Datenkategorien, Standort und der Rechtsgrundlage, auf der Daten die EU verlassen dürfen – sofern sie es tun. Diese Seite ist die maßgebliche Liste, auf die unser Auftragsverarbeitungsvertrag (AVV) verweist; ändert sie sich, ändert sich das Datum oben mit.
Reihenfolge nach Datenfluss: Speicherung, API, KI, E-Mail, SMS, Analytik. „Übermittlungsgrundlage“ nennt, was eine Verarbeitung außerhalb der EU erlaubt; „nicht erforderlich“ heißt: die Daten verlassen die EU nicht.
| Anbieter | Zweck | Datenkategorien | Standort | Übermittlungsgrundlage |
|---|---|---|---|---|
| Supabase, Inc. San Francisco, USA · EU-Hosting | Datenbank und Speicher (PostgreSQL) für alle Anwendungsdaten | Audit-Kette, Freigaben, Agentenregister, Konversationen, Kontodaten | Frankfurt am Main — AWS eu-central-1 | Nicht erforderlich (EU-Hosting); Supabase-DPA inkl. SCC für Support-Zugriffe |
| Vercel, Inc. San Francisco, USA · EU-Funktionen | Hosting: Serverless-API-Funktionen, statische Seiten, TLS | Anfragedaten im Transit; keine Datensätze gespeichert | Funktionen: Frankfurt (fra1). Statische Seiten und TLS: nächstgelegener Edge-Knoten | Keine für die Verarbeitung (fra1); Vercel-DPA inkl. SCC für Edge und Support |
| Mistral AI SAS Paris, Frankreich | KI-Inferenz: Richtlinienprüfung, Assistent, Sprache (Voxtral STT/TTS), Dokumentlesen (OCR) | Prompt-Text, Audio-Clips, Dokumentbilder je Anfrage | Rechenzentren EU/EFTA über Regionalendpunkt api.eu.mistral.ai (Azure SE/NO, Google Cloud NL/BE, Mistral Compute FR, CoreWeave EWR) | Nicht erforderlich; Mistral Data Processing Addendum; Speicherung ≤ 30 Tage (Zero Data Retention am 14.10.2026 beantragt) |
| Resend, Inc. San Francisco, USA | Transaktions-E-Mail: Freigabe-Benachrichtigungen, Einladungen, Bestätigungslinks | Empfängeradresse, Betreff, E-Mail-Inhalt | Irland — Region eu-west-1 (Sendedomain vinchy.ai dort verifiziert) | Verarbeitung in der EU; Resend-DPA inkl. SCC für US-Support-Zugriffe |
| Twilio, Inc. San Francisco, USA | SMS-Erinnerungen — nur nach Double-Opt-in des Empfängers | Telefonnummer, Nachrichtentext | USA | Standardvertragsklauseln (Twilio-DPA); EU-US Data Privacy Framework, soweit zertifiziert |
| Google Ireland Ltd. Dublin, Irland (Google LLC, USA) | Website-Analytik (GA4) nur auf öffentlichen Marketingseiten und nur nach Cookie-Einwilligung; die Anwendung enthält keine Analytik | Pseudonyme Nutzungsdaten, gekürzte IP | EU / USA | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Google Ads Data Processing Terms inkl. SCC / DPF |
Beendet: OpenAI (Sprach-Vorschau) — am 14. Oktober 2026 entfernt; seitdem gehen keine VINCHY-Daten an OpenAI.
Bevor ein neuer Unterauftragsverarbeiter Kundendaten erhält, wird diese Seite aktualisiert und das Datum oben ändert sich. Kunden mit unterzeichnetem AVV werden per E-Mail an ihre Kontoadresse informiert und können nach dem AVV innerhalb von 30 Tagen widersprechen. Wir ergänzen Unterauftragsverarbeiter nicht stillschweigend.
Unseren Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit dieser Liste als Anlage, die Anbieter-DPAs, auf die wir uns stützen, und einen datierten PDF-Export dieser Seite. Schreiben Sie an hello@vinchy.ai – es antwortet das Team, das VINCHY betreibt, kein Callcenter.
VINCHY wird von DreamSoft AI Studio entwickelt und betrieben, dem KI-Studio der SIGOO GmbH – einem deutschen Software- und Designhaus, das seit 2012 Systeme für Unternehmen und öffentliche Einrichtungen baut. Die SIGOO GmbH ist Rechtsträger und Vertragspartner (siehe Impressum). Fragen zur Datenverarbeitung gehen an hello@vinchy.ai.
Weil Ehrlichkeit wichtiger ist als eine sauber aussehende Liste. Supabase, Vercel und Resend verarbeiten VINCHY-Daten innerhalb der EU, haben aber ihren Sitz in den USA, und ihr Personal könnte zu Support-Zwecken grundsätzlich auf Systeme zugreifen. Genau dafür benennen wir das und stützen uns auf deren DPAs mit Standardvertragsklauseln.
Nur zwei Flüsse: SMS über Twilio (falls Sie SMS-Erinnerungen aktivieren) und einwilligungspflichtige Website-Analytik (GA4). Alles andere – Datensätze, API-Verarbeitung, KI-Inferenz, E-Mail-Zustellung – bleibt in der EU. Die Komponentenkarte: Wo Ihre Daten liegen.
Nein. VINCHY trainiert nie Modelle mit Kundendaten. Bei Mistral AI ist der organisationsweite Trainings-Opt-out gesetzt und Labs-Modelle sind deaktiviert; ein Zero-Data-Retention-Antrag läuft. Kein anderer gelisteter Anbieter erhält Prompts oder Dokumente.
Ja. Fordern Sie den AVV (Art. 28 DSGVO) mit dieser Liste als Anlage 3 unter hello@vinchy.ai an. Die datierte Fassung dieser Seite ist die verbindliche Liste.
Fordern Sie den Auftragsverarbeitungsvertrag mit dieser Liste als Anlage an. Wir antworten innerhalb von zwei Werktagen.
AVV anfordern