Aktuelle Unterauftragsverarbeiter
Diese Liste zeigt die Unterauftragsverarbeiter, die zum oben genannten Datum im Einsatz sind. Sie ist die maßgebliche Liste, auf die unser AVV und unsere Datenschutzerklärung verweisen.
| Unterauftragsverarbeiter | Zweck | Geteilte personenbezogene Daten |
|---|---|---|
| Clerk | Authentifizierung und Sitzungsverwaltung | Kontoidentität (E-Mail-Adresse, Name), Profilfoto, Kontometadaten, Authentifizierungsmetadaten |
| Stripe (inkl. Stripe Connect, Express und Global Payouts) | Abonnementabrechnung, Webhooks für Conversions und Erstattungen sowie Affiliate-Auszahlungen (Stripe-Express-Konten und Banküberweisungen per Global Payouts) | Abrechnungsdaten, Auszahlungsidentität und Bankdaten, Steuerformulare der Affiliates (von Stripe auf dem Auszahlungsweg Express verwahrt), Kunden- und Conversion-Daten |
| Paddle | Tracking von Conversions und Erstattungen für Marken, die ihr eigenes Paddle-Billing-Konto verbinden | Kunden- und Bestellkennungen sowie Verkaufs- und Erstattungsbeträge aus dem Paddle-Konto der Marke; die Paddle-Zugangsdaten der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Braintree (ein PayPal-Unternehmen) | Tracking von Abonnement-Conversions und Rückbuchungen für Marken, die ihr eigenes Braintree-Konto verbinden | Kunden- und Transaktionskennungen sowie Beträge wiederkehrender Verkäufe und Streitfälle aus dem Braintree-Konto der Marke; die Braintree-API-Zugangsdaten der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Shopify Inc. (Kanada) | Für Händler, die die Rekomi-App für Shopify installieren: Tracking von Bestell- und Erstattungs-Conversions, Verwaltung von Affiliate-Rabattcodes und Abrechnung des Rekomi-Abonnements und der Provisionsgebühr des Händlers über Shopify (Shopify ist für diese Händler sowohl Unterauftragsverarbeiter als auch abrechnende Stelle) | Shop-Domain, Bestell- und Kundenkennungen sowie Verkaufs- und Erstattungsbeträge aus dem Shopify-Store des Händlers; das Offline-Admin-API-Zugriffstoken des Stores wird im Ruhezustand verschlüsselt gespeichert. Geschützte Kundendaten werden nach den Anforderungen von Shopify an Protected Customer Data behandelt. |
| Wix.com Ltd (Israel / USA) | Für Marken, die die Rekomi-App aus dem Wix App Market installieren: Hosting der App im Wix-Dashboard, Tracking von Bestell- und Erstattungs-Conversions, Verwaltung von Affiliate-Gutscheincodes und Abrechnung des Rekomi-Abonnements der Marke über Wix (Wix ist für diese Marken sowohl Unterauftragsverarbeiter als auch abrechnende Stelle) | Site- und App-Instanzkennungen, Bestell- und Kundenkennungen sowie Verkaufs- und Erstattungsbeträge aus dem Wix-Store der Marke; die Wix-App-Zugangsdaten der Site werden im Ruhezustand verschlüsselt gespeichert |
| BigCommerce, Inc. (USA) | Für Marken, die die Rekomi-App aus dem BigCommerce App Marketplace installieren: Hosting der App im BigCommerce-Control-Panel, Tracking von Bestell- und Erstattungs-Conversions, Verwaltung von Affiliate-Gutscheincodes als Store-Promotions und Abrechnung des Rekomi-Abonnements der Marke über BigCommerce | Store- und App-Kennungen, Bestell- und Kundenkennungen sowie Verkaufs- und Erstattungsbeträge aus dem BigCommerce-Store der Marke; die BigCommerce-App-Zugangsdaten des Stores werden im Ruhezustand verschlüsselt gespeichert |
| Xe Corporation (Xe Currency Data API) | Tägliche Devisen-Mittelkurse als Referenz für Währungen, die die Europäische Zentralbank nicht veröffentlicht (Berichte, Steuern und Bewertung bei der Auszahlungsumrechnung; nur Kurse, keine personenbezogenen Daten verlassen Rekomi) | Keine (Rekomi sendet nur Währungscodes und Daten) |
| Frankfurter (Open-Source-Wechselkurs-API, öffentliche Instanz unter api.frankfurter.app) | Tägliche Mittelkurse der Europäischen Zentralbank als Referenz für die von der EZB veröffentlichten Währungen, erneut veröffentlicht von Frankfurter (Berichte, Steuern und Bewertung bei der Auszahlungsumrechnung; nur Kurse, keine personenbezogenen Daten verlassen Rekomi) | Keine (Rekomi sendet nur Währungscodes und Daten) |
| Lemon Squeezy (ein Stripe-Unternehmen) | Abrechnungsdaten als Merchant of Record für Marken, die ihren eigenen Lemon-Squeezy-Store verbinden: Tracking von Bestell-, Abonnementverlängerungs- und Erstattungs-Conversions | Kunden- und Bestellkennungen sowie Verkaufs-, Verlängerungs- und Erstattungsbeträge aus dem Lemon-Squeezy-Store der Marke; der Lemon-Squeezy-API-Schlüssel und das Webhook-Signaturgeheimnis der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Chargebee | Abonnement-Abrechnungsdaten für Marken, die ihre eigene Chargebee-Site verbinden: Tracking von Zahlungs-, Verlängerungs- und Erstattungs-Conversions | Kunden-, Abonnement- und Rechnungskennungen sowie Zahlungs-, Verlängerungs- und Erstattungsbeträge aus der Chargebee-Site der Marke; der schreibgeschützte Chargebee-API-Schlüssel und die Webhook-Zugangsdaten der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Polar | Abrechnungsdaten als Merchant of Record für Marken, die ihre eigene Polar-Organisation verbinden: Tracking von Bestell-, Abonnementverlängerungs- und Erstattungs-Conversions | Kunden- und Bestellkennungen sowie Verkaufs-, Verlängerungs- und Erstattungsbeträge aus der Polar-Organisation der Marke; das Polar-Zugriffstoken und das Webhook-Signaturgeheimnis der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Recurly, Inc. | Abonnement-Abrechnungsdaten für Marken, die ihre eigene Recurly-Site verbinden: Tracking von Conversions aus bezahlten Rechnungen, Verlängerungen und Erstattungen | Kunden-, Abonnement-, Rechnungs- und Transaktionskennungen sowie Zahlungs-, Verlängerungs- und Erstattungsbeträge aus der Recurly-Site der Marke, plus Empfehlungswerte aus benutzerdefinierten Feldern von Abonnements und Konten, gelesen über den API-Schlüssel der Marke; der schreibgeschützte Recurly-API-Schlüssel und die Webhook-Zugangsdaten der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Gumroad, Inc. | Commerce-Daten als Merchant of Record für Marken, die ihr eigenes Gumroad-Verkäuferkonto verbinden: Tracking von Verkaufs-, Mitgliedschaftsverlängerungs-, Erstattungs-, Streitfall- und Mitgliedschaftslebenszyklus-Conversions | E-Mail-Adresse und Name des Käufers, Verkaufs-, Produkt- und Abonnementkennungen sowie Verkaufs-, Erstattungs- und Streitfallbeträge, die aus dem Gumroad-Konto der Marke empfangen (und dort gegengelesen) werden; das Gumroad-Zugriffstoken der Marke wird im Ruhezustand verschlüsselt gespeichert |
| Armitage Labs OU (Creem) | Commerce-Daten als Merchant of Record für Marken, die ihren eigenen Creem-Store verbinden: Tracking von Verkaufs-, Abonnementverlängerungs-, Erstattungs-, Streitfall- und Abonnementlebenszyklus-Conversions | E-Mail-Adresse und Name des Kunden, Produkt-, Bestell-, Abonnement- und Transaktionskennungen und -beträge aus dem Creem-Store der Marke; der Creem-API-Schlüssel und das Webhook-Signaturgeheimnis der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Dodo Payments Inc | Commerce-Daten als Merchant of Record für Marken, die ihr eigenes Dodo-Payments-Konto verbinden: Tracking von Zahlungs-, Abonnementverlängerungs-, Erstattungs-, Streitfall- und Abonnementlebenszyklus-Conversions | E-Mail-Adresse und Name des Kunden, Geschäfts-, Produkt-, Zahlungs-, Abonnement-, Erstattungs- und Streitfallkennungen und -beträge aus dem Dodo-Payments-Konto der Marke; der Dodo-Payments-API-Schlüssel und das Webhook-Signaturgeheimnis der Marke werden im Ruhezustand verschlüsselt gespeichert |
| Mollie B.V. (Amsterdam) | Zahlungsdaten für Marken, die ihr eigenes Mollie-Konto verbinden: Tracking von Zahlungs-, Abonnementverlängerungs-, Erstattungs- und Rückbuchungs-Conversions | E-Mail-Adresse und Name des Kunden, Website-Profil, Zahlungs-, Abonnement-, Erstattungs- und Rückbuchungskennungen und -beträge, gelesen aus der Mollie-Organisation der Marke über ein berechtigungsbeschränktes Zugriffstoken; das Mollie-Zugriffstoken und das Webhook-Signaturgeheimnis der Marke werden im Ruhezustand verschlüsselt gespeichert |
| PayPal | Auszahlungsweg für Affiliates in Ländern, die weder Stripe Express noch Stripe Global Payouts abdeckt | PayPal-E-Mail-Adresse des Affiliates und Auszahlungsbeträge |
| Resend | Zustellung von Transaktions- und Lifecycle-E-Mails | E-Mail-Adresse des Empfängers und Nachrichteninhalt |
| Cloudflare | DNS, CDN, Edge-Tracking, Bot-Erkennung, Turnstile-Prüfung auf menschliche Nutzer bei Lead-Formularen und Portal-Login sowie eigene Hostnamen für Tracking und Portale | Anfragemetadaten, IP-Adresse, User-Agent, Bot-Score, Ergebnis der Turnstile-Prüfung |
| Vercel | Hosting der Website rekomi.com und des Frontends der Web-App sowie Registrierung der eigenen Hostnamen, die Marken auf ihre Portale zeigen lassen | Anfragemetadaten, IP-Adresse, User-Agent, eigene Hostnamen, die eine Marke registriert |
| IPQualityScore (IPQS) | Erkennung von Betrug und ungültigem Traffic: IP-Reputation, Erkennung von Proxys, VPNs, Rechenzentren und Bots sowie Geräte-Fingerprinting bei Tracking-Klicks und bei Registrierungs-, Lead- und Angebotsformularen; Prüfung von Landingpage- und Angebotslinks auf schädliche URLs; Reputation von E-Mail-Adressen für Markenkonten, Affiliates und Auszahlungspostfächer; Risikobewertung der Abonnement-Abrechnungsdaten einer Marke während der Vertrauensprüfung; und Meldung von Kennungen, die mit bestätigtem Betrug verbunden sind. Ausschließlich zur Bewertung des Betrugsrisikos genutzt, nie für Werbung | IP-Adresse, User-Agent, Gerätemerkmale, E-Mail-Adressen, die zur Prüfung eingereichten Landingpage- und Angebots-URLs sowie für die Vertrauensprüfung einer Marke der Rechnungsname, die Rechnungs-E-Mail-Adresse, Land und Postleitzahl, die letzten vier Stellen und das Ablaufdatum der Abonnementkarte und das Ergebnis der Kartenprüfungen (nie eine vollständige Kartennummer, BIN oder Bankkontonummer) |
| DigitalOcean | Anwendungshosting und privater Objektspeicher (Spaces) für hochgeladene Dateien wie Steuerformulare von Affiliates | Hochgeladene Dokumente (zum Beispiel W-8-Steuerformulare) und Anwendungsdaten, die durch das Hosting laufen |
| Anthropic | Sprachmodell-API hinter zwei Funktionen: Einstufung der bestehenden Kunden einer Marke als Affiliate-Kandidaten (Affiliates einladen, Aus Kunden) und Erstellung der verständlichen Zusammenfassung, die Rekomi-Mitarbeiter bei der Prüfung der Markenverifizierung sehen | Für die Kandidateneinstufung pseudonyme Kunden-Handles (ein Hash, nie die E-Mail-Adresse) mit Kaufsummen und Daten; für die Verifizierungsprüfung der Firmenname der Marke, die Website-Domain, ein kurzer Auszug ihres öffentlichen Website-Textes und die ausgelösten Risikosignale. Es werden keine Namen, E-Mail-Adressen, Karten- oder Bankdaten von Affiliates oder Kunden gesendet, und der Anbieter nutzt API-Eingaben nicht zum Training seiner Modelle |
| DigitalOcean (verwaltetes PostgreSQL und Redis, New York) | Primäre Anwendungsdatenbank und Cache, mit täglichen Backups und 7-tägiger Wiederherstellung zu beliebigen Zeitpunkten | Alle Anwendungsdaten, einschließlich Konto-, Affiliate-, Conversion- und Auszahlungsdaten |
| Sentry | Fehler- und Leistungsüberwachung, einschließlich einer maskierten Sitzungsaufzeichnung, die bei einem Fehler erfasst wird | Diagnosedaten, vor der Übertragung so weit wie möglich von personenbezogenen Daten bereinigt; User-Agent; IP-Adressen werden bereinigt; Sitzungsaufzeichnungen haben maskierte Texte und Eingaben |
| PostHog (Opt-in) | Produktanalyse, nur mit Einwilligung in Analyse-Cookies aktiviert | Nutzungsereignisse und Geräte- oder Sitzungskennungen |
| Google Analytics 4 | Aggregierte Traffic- und Marketing-Attribution. Das Tag lädt bei jedem Besuch mit verweigerter Speicherung (Consent Mode) und sendet nur cookielose Pings, bis Sie Analyse-Cookies akzeptieren; nach Ihrer Zustimmung läuft die vollständige Messung | Cookielose Seitenaufruf-Pings vor der Einwilligung; aggregierte Nutzungs- und Traffic-Daten nach der Einwilligung; IP-Adressen werden von Google vor der Speicherung anonymisiert |
| Intercom (Opt-in) | Support-Chat, nur mit Einwilligung in Marketing-Cookies geladen | Inhalt der Support-Unterhaltung; angemeldete Nutzer werden gegenüber Intercom über Nutzer-ID, Name, E-Mail-Adresse und Registrierungsdatum identifiziert |
| Anthropic | KI-Funktionen (Claude), die ein Nutzer aufruft, und die automatisierte Betrugsprüfung neuer Markenkonten | Für KI-Funktionen die Inhalte, die Sie übermitteln: Prompts können die Empfängernamen und E-Mail-Adressen enthalten, die Sie in eine Ansprache eingeben, sowie Creator-Profiltexte, und Leistungsstatistiken werden aggregiert gesendet. Für die automatisierte Markenprüfung das Marken-Dossier, das unsere Prüfer sehen: Firmenname, Website und Website-Text, die Namen des Inhabers und des Karteninhabers, die E-Mail-Adressen des Inhabers und der Abrechnung, die Registrierungs-IP-Adresse und Gerätekennung, die letzten vier Stellen, das Ablaufdatum, die Rechnungspostleitzahl und das Land sowie die Prüfergebnisse der Karte des Abonnements, Kampagneneinstellungen, die Namen, E-Mail-Adressen und Registrierungs-IP-Adressen der Affiliates der Marke, die Namen der Inhaber von Finanzierungskonten und die Texte, die die Marke in ihre Beschreibung und ihre Verifizierungsantworten eingegeben hat, damit das Modell eine verständliche Risikozusammenfassung schreiben kann. Nicht zum Training von Modellen genutzt |
| Zapier | Eingebettete Zapier-Seite im Marken-Dashboard zum Erstellen von Automatisierungen | Name und E-Mail-Adresse des angemeldeten Markennutzers, an die Einbettung übergeben, damit Zapier das Konto identifizieren kann. Daten, die an die eigenen Zaps einer Marke gesendet werden, fallen unter „Dienste, die Sie verbinden“ weiter unten |
| Gravatar (Automattic) | Avatarbilder für vermittelte Kunden, die im Marken-Dashboard angezeigt werden | Ein MD5-Hash der E-Mail-Adresse jedes vermittelten Kunden, abgerufen aus dem Browser des Betrachters, sodass Gravatar auch die IP-Adresse und den User-Agent des Betrachters sieht |
| Google Fonts (Google) | Schriften, die beim Seitenaufruf auf Anmeldeseiten des Markenportals und auf Creator-Infoseiten geladen werden | IP-Adresse und User-Agent des Besuchers, wie bei jeder von Google ausgelieferten Schriftanfrage |
| Calendly | Widget zur Demo-Buchung, eingebettet auf rekomi.com/demo | Was Sie in das Buchungsformular eingeben (Name, E-Mail-Adresse und etwaige Anmerkungen) sowie IP-Adresse und User-Agent des Besuchers |
Dienste, die Sie verbinden
Einige Dienste erhalten personenbezogene Daten, weil eine Marke sie verbindet, nicht weil Rekomi sie gewählt hat: die CRMs und E-Mail-Plattformen, mit denen eine Marke Affiliates und Kunden synchronisiert, die Webhook-Endpunkte und Zapier-Zaps, die eine Marke für Ereignisse abonniert (und die für diese Ereignisse Namen und E-Mail-Adressen der Affiliates erhalten), die Tracking-Pixel, die eine Marke auf ihren Anmeldeseiten platziert, und die sozialen Plattformen, die ein Creator oder eine Marke mit dem Profil verbindet. Das sind die eigenen Auftragsverarbeiter der Marke (oder des Creators), von ihnen gewählt und kontrolliert, keine Unterauftragsverarbeiter von Rekomi, und ihr Umgang mit den Daten richtet sich nach der Vereinbarung dieser Partei mit dem Dienst.
Datenstandort
Unsere Standardregion für die Verarbeitung sind die Vereinigten Staaten. Unterauftragsverarbeiter können weltweit tätig sein; wo personenbezogene Daten aus dem EWR, dem Vereinigten Königreich oder der Schweiz übermittelt werden, stützt sich unser AVV auf die Standardvertragsklauseln, das britische International Data Transfer Addendum und die Schweizer Anpassungen der Standardvertragsklauseln.
Änderungen
Ergänzungen veröffentlichen wir auf dieser Seite mit dem Aktualisierungsdatum und informieren die Inhaber der Organisation per E-Mail mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet, außer wenn eine Änderung aus Sicherheits- oder Kontinuitätsgründen dringend erforderlich ist; in diesem Fall informieren wir so bald wie praktisch möglich. Das Datum „Aktualisiert am“ oben gibt die aktuelle Liste an. Um ein Anliegen zu einem Unterauftragsverarbeiter vorzubringen, wenden Sie sich an support@rekomi.com.