NOCTRA

Unterauftragnehmer für Workspace-Verarbeitungen

Version
1.2-rc.1
Gültigkeitsdatum
Nicht festgelegt
Zuletzt aktualisiert
2026-10-16

Verbundene Dokumente

Zusammenfassung

Diese Offenlegung bezeichnet aktuelle Anbieter, die personenbezogene Kundendaten im Auftrag von NOCTRA für Workspace-Dienste verarbeiten können. Sie ist auf das Auftragsverarbeitungsverhältnis des Workspace beschränkt; öffentliche Marketingdienste werden nicht als Workspace-Unterauftragnehmer aufgeführt.

Vollständige Bedingungen

Anbieterunternehmen, Region, Übermittlungsmechanismus, Datum des Anbieter-AVV und Änderungsdatum bleiben unveröffentlicht, bis sie aus dem anwendbaren Vertrag oder der Konfiguration verifiziert sind.

Änderungsprozess für Unterauftragnehmer

Vor der Ergänzung oder Ersetzung eines Workspace-Unterauftragnehmers informiert NOCTRA den maßgeblichen Vertrags- oder Abrechnungskontakt oder nutzt einen bezeichneten Plattform-Mitteilungskanal mit einem, soweit praktikabel, ausreichenden Vorlauf für einen Widerspruch aus objektiv gerechtfertigten Datenschutzgründen. Die Parteien bemühen sich, soweit praktikabel, zunächst um eine angemessene Lösung. Dringende Sicherheits-, Rechts- oder Anbieterumstände können einen kürzeren Vorlauf erfordern.

A. Workspace-Unterauftragnehmer

Dienste zur Verarbeitung kundenseitig verantworteter Workspace-Daten im Auftrag von NOCTRA. Konto- und vertragsbezogene Angaben zu Vertrag und Übermittlungen richten sich nach dem anwendbaren Anbieterkonto und Vertrag.

  1. Supabase

    Die NOCTRA-Organisation bestätigt die automatische Einbeziehung der Standard-DPA; Fassung vom 01.08.2026. Abweichende individuelle Altvereinbarungen bleiben gegebenenfalls bestehen.

    Anbieterreferenz
    Vorläufige Einordnung
    Workspace-Unterauftragnehmer
    Aktivierung
    Plattformdienst
    Verarbeitungszweck
    Authentifizierung, relationale Datenspeicherung, geschützte Datenbankvorgänge und Dateispeicherung.
    Betroffene NOCTRA-Funktionalität
    Supabase Auth; Workspace- und Event-Anwendungsdaten; RPC- und RLS-Durchsetzung; Speicherung von Veranstalter-Branding und Event-Covern; private Ablage zusätzlich verschlüsselter Sicherungsarchive mit sieben Tagen Aufbewahrung.
    Mögliche Datenkategorien
    Konto-, Workspace-, Veranstalter-, Event-, Teilnehmer-, Käufer-, Ticket-, Einlass-, Bericht-, Steuerdokument-, Audit- und Mediendaten.
    Vertragsschließendes Anbieterunternehmen
    Supabase Pte. Ltd.
    Verarbeitungsregion / -ort
    Production-Datenbank und Storage: Irland (eu-west-1); QA: Frankfurt (eu-central-1). Anbieter-Support und Betriebsdaten sind nicht ausschließlich EU-beschränkt.
    Übermittlungsmechanismus
    Provider DPA and EU Standard Contractual Clauses where required
    Datum des Anbieter-AVV
    2026-08-01
    Art der Anbieteränderung
    Aktuelle Bestandsaufnahme
    Änderungsdatum
    Im Repository nicht verifiziert
    Gültigkeitsdatum
    Im Repository nicht verifiziert
    Mitteilungsstatus
    Aktuelle Bestandsaufnahme — keine Änderungsmitteilung erfasst
    Kundenwiderspruchsmechanismus
    Im Repository nicht verifiziert

  2. Vercel

    Die DPA ist über den vorhandenen NOCTRA-Pro-Geschäftsvertrag einbezogen. Runtime-Logs werden im geprüften Observability-Plus-Konto 30 Tage vorgehalten; keine zusätzlichen Log-Drains eingerichtet.

    Anbieterreferenz
    Vorläufige Einordnung
    Workspace-Unterauftragnehmer
    Aktivierung
    Plattformdienst
    Verarbeitungszweck
    Anwendungshosting, Anfrageauslieferung und serverseitige Laufzeitausführung.
    Betroffene NOCTRA-Funktionalität
    Öffentliche Website, geschützte Anwendungsrouten, API-Routen und serverseitig gerenderte Workspace-Funktionalität.
    Mögliche Datenkategorien
    Anfrage- und Gerätemetadaten sowie Anwendungsdaten, die von aufgerufenen Serverrouten verarbeitet werden.
    Vertragsschließendes Anbieterunternehmen
    Vercel Inc.
    Verarbeitungsregion / -ort
    Anwendungsfunktionen: Irland (dub1). Weitere Hosting-, Netzwerk-, Support- und Betriebsverarbeitung kann in den USA und weiteren Ländern erfolgen.
    Übermittlungsmechanismus
    Provider DPA and applicable EU Standard Contractual Clauses
    Datum des Anbieter-AVV
    Im Repository nicht verifiziert
    Art der Anbieteränderung
    Aktuelle Bestandsaufnahme
    Änderungsdatum
    Im Repository nicht verifiziert
    Gültigkeitsdatum
    Im Repository nicht verifiziert
    Mitteilungsstatus
    Aktuelle Bestandsaufnahme — keine Änderungsmitteilung erfasst
    Kundenwiderspruchsmechanismus
    Im Repository nicht verifiziert

  3. Resend

    Die im NOCTRA-Team angebotene vorunterzeichnete DPA gilt laut Anbieter seit Registrierung. E-Mails und Logs: 30 Tage; Anbieter-Backups: 7 Tage; verbleibende Kundendaten nach Kontobeendigung: bis 90 Tage. Marketing-Tracking ist für die geprüfte Versanddomain nicht aktiviert.

    Anbieterreferenz
    Vorläufige Einordnung
    Workspace-Unterauftragnehmer
    Aktivierung
    Nur bei Nutzung der betreffenden Funktion
    Verarbeitungszweck
    Serverseitige Zustellung transaktionaler Einladungen, Zugangsnachrichten, Tickets und Vertragsbestätigungen.
    Betroffene NOCTRA-Funktionalität
    Transaktionaler E-Mail-Versand und zugehörige Behandlung von Zustellversuchen; es wird kein Resend-Browserskript verwendet.
    Mögliche Datenkategorien
    Käufername und -E-Mail, Event- und Ticketdetails, geschützter Reservierungslink, Anbieter-Nachrichtenreferenz und Zustellmetadaten.
    Vertragsschließendes Anbieterunternehmen
    Plus Five Five, Inc.
    Verarbeitungsregion / -ort
    Versandregion Irland (eu-west-1); E-Mail-Inhalte und Logs werden auch in den USA gespeichert.
    Übermittlungsmechanismus
    Provider DPA, EU Standard Contractual Clauses and applicable adequacy safeguards
    Datum des Anbieter-AVV
    Im Repository nicht verifiziert
    Art der Anbieteränderung
    Aktuelle Bestandsaufnahme
    Änderungsdatum
    Im Repository nicht verifiziert
    Gültigkeitsdatum
    Im Repository nicht verifiziert
    Mitteilungsstatus
    Aktuelle Bestandsaufnahme — keine Änderungsmitteilung erfasst
    Kundenwiderspruchsmechanismus
    Im Repository nicht verifiziert

  4. Upstash Redis

    Die Standardbedingungen beziehen die DPA ausdrücklich ein. Eigene tägliche Backups sind nicht aktiviert. Limiter-Analytics ist aus; geprüfte Limiter-Buckets haben maximal 48 Stunden plus 1 Sekunde TTL. Das ist keine Aussage über sämtliche Redis-Schlüssel oder anbieterinterne Backups.

    Anbieterreferenz
    Vorläufige Einordnung
    Workspace-Unterauftragnehmer
    Aktivierung
    Nur bei Nutzung der betreffenden Funktion
    Verarbeitungszweck
    Serverseitige Ratenbegrenzung für ausgewählte Reservierungs- und Erstattungsvorgänge.
    Betroffene NOCTRA-Funktionalität
    Missbrauchs- und Verfügbarkeitsschutz anhand von Routen- oder Eventbereichen; Upstash-Limiter-Analytics ist deaktiviert.
    Mögliche Datenkategorien
    HMAC-abgeleitetes pseudonymisiertes Anfrage-Ursprungssignal, Event- oder Routenbereich, Zähler und Rücksetzmetadaten.
    Vertragsschließendes Anbieterunternehmen
    Upstash, Inc.
    Verarbeitungsregion / -ort
    Geprüfte Free-Redis-Datenbank: Frankfurt (eu-central-1), keine zusätzliche Leseregion konfiguriert. Anbieterinterne Verarbeitung ist nicht als ausschließlich EU-beschränkt zugesagt.
    Übermittlungsmechanismus
    Provider DPA and EU Standard Contractual Clauses where applicable
    Datum des Anbieter-AVV
    Im Repository nicht verifiziert
    Art der Anbieteränderung
    Aktuelle Bestandsaufnahme
    Änderungsdatum
    Im Repository nicht verifiziert
    Gültigkeitsdatum
    Im Repository nicht verifiziert
    Mitteilungsstatus
    Aktuelle Bestandsaufnahme — keine Änderungsmitteilung erfasst
    Kundenwiderspruchsmechanismus
    Im Repository nicht verifiziert

B. Zahlungsanbieter und gemischte oder eigenständige Rollen

Zahlungsdienste können bei Connect, Checkout, Zahlung, Erstattung und Compliance unterschiedliche rechtliche Rollen ausüben. Es wird keine einheitliche Rolle für sämtliche Verarbeitungen erzwungen.

  1. Stripe

    Zahlungs- und Connect-Tätigkeiten können Auftragsverarbeiter- sowie eigenständige oder getrennte Verantwortlichenrollen umfassen. Bis zur Prüfung der tatsächlichen Stripe-Verträge und Datenflüsse wird keine einheitliche Einordnung behauptet.

    Anbieterreferenz
    Vorläufige Einordnung
    Rechtliche Einordnung ausstehend
    Aktivierung
    Nur bei Nutzung der betreffenden Funktion
    Verarbeitungszweck
    SaaS-Abonnementabrechnung, Stripe-Connect-Onboarding für Veranstalter, gehosteter Ticket-Checkout, Zahlungsabwicklung und Erstattungen.
    Betroffene NOCTRA-Funktionalität
    Plattform-Abonnementabrechnung, verbundene Veranstalter-Zahlungskonten, gehostete Käufer-Zahlungsoberflächen, serverseitige Zahlungs-API und geprüfte Connect-Webhooks.
    Mögliche Datenkategorien
    Zahlungskontoinformationen von Veranstaltern; Kontakt- und Rechnungsdaten von Käufern; Bestell-, Checkout-, Zahlungs- und Erstattungsreferenzen und Beträge.
    Vertragsschließendes Anbieterunternehmen
    Im Repository nicht verifiziert
    Verarbeitungsregion / -ort
    Im Repository nicht verifiziert
    Übermittlungsmechanismus
    Im Repository nicht verifiziert
    Datum des Anbieter-AVV
    Im Repository nicht verifiziert
    Art der Anbieteränderung
    Aktuelle Bestandsaufnahme
    Änderungsdatum
    Im Repository nicht verifiziert
    Gültigkeitsdatum
    Im Repository nicht verifiziert
    Mitteilungsstatus
    Aktuelle Bestandsaufnahme — keine Änderungsmitteilung erfasst
    Kundenwiderspruchsmechanismus
    Im Repository nicht verifiziert
Zurück zu NOCTRA