Privacy / Datenschutz

Sub-processors · Auftragsverarbeiter

Last reviewed / Letzte Überprüfung: 2026-09-25

Railway Corporation

USA

Aufgabe: Hostet unsere Datenbank und unsere Anwendungs-Server.

Datenschutz-Grundlage: EU-Standardvertragsklauseln

What they do: Hosts our database and application servers.

Data protection basis: EU Standard Contractual Clauses

Details

EU-Standardvertragsklauseln Modul 2 gemäß Durchführungsbeschluss (EU) 2021/914. AVV liegt unterzeichnet vor (Effective Date 2026-04-24). Aktuelle Sub-Prozessoren-Liste: https://railway.com/legal/subprocessors

EU Standard Contractual Clauses Module 2 per Implementing Decision (EU) 2021/914. Signed DPA on file (Effective Date 2026-04-24). Current sub-processor list: https://railway.com/legal/subprocessors

Plus Five Five, Inc. dba Resend

USA

Aufgabe: Versendet unsere transaktionalen E-Mails (Verifizierung, Passwort-Reset, Benachrichtigungen).

Datenschutz-Grundlage: EU-Standardvertragsklauseln

What they do: Delivers our transactional emails (verification, password reset, notifications).

Data protection basis: EU Standard Contractual Clauses

Details

EU-Standardvertragsklauseln Modul 2 gemäß Durchführungsbeschluss (EU) 2021/914. AVV liegt vor. Aktuelle Sub-Prozessoren-Liste: https://resend.com/legal/subprocessors

EU Standard Contractual Clauses Module 2 per Implementing Decision (EU) 2021/914. Signed DPA on file. Current sub-processor list: https://resend.com/legal/subprocessors

MapTiler AG

CH

Aufgabe: Liefert Karten-Kacheln und reverse-geokodierte Treffpunkt-Namen.

Datenschutz-Grundlage: EU-Angemessenheitsbeschluss

What they do: Renders maps and reverse-geocodes meeting-point names.

Data protection basis: EU Adequacy Decision

Details

AVV liegt unterzeichnet vor (Effective Date 2026-04-27); Sub-processor-Inventar wird gemäß §AVV-Anhang quartalsweise abgeglichen. Datenschutzerklärung des Anbieters: https://www.maptiler.com/privacy-policy/ — eine gesondert veröffentlichte Unterauftragsverarbeiter-Liste hält der Anbieter derzeit nicht bereit; sie ist bei ihm anzufordern (Stand der Prüfung: 2026-09-16)

Signed DPA on file (Effective Date 2026-04-27); sub-processor inventory reconciled quarterly per DPA annex. Provider privacy policy: https://www.maptiler.com/privacy-policy/ — the provider does not currently publish a separate sub-processor list; it is obtainable from them on request (checked 2026-09-16)

Hetzner Online GmbH

DE

Aufgabe: Domain-Registrar / DNS für workouttogether.de (keine Auftragsverarbeitung).

Datenschutz-Grundlage: Eigenständiger Verantwortlicher — keine AVV nötig

What they do: Domain registrar / DNS for workouttogether.de (no Auftragsverarbeitung).

Data protection basis: Independent Controller — no AVV needed

Details

Einzige Rolle: Registrar / autoritativer DNS. Eigenständiger Verantwortlicher — keine AVV nötig. Datenbank-Backups laufen NICHT über Hetzner.

Single role: registrar / authoritative DNS. Independent Controller — no AVV needed. Database backups do NOT route through Hetzner.

mailbox.org (Heinlein Support GmbH)

DE

Aufgabe: Hostet das Operator-Postfach info@workouttogether.de und nimmt eingehende E-Mails entgegen.

Datenschutz-Grundlage: AVV (Inland)

What they do: Hosts the operator inbox info@workouttogether.de and receives inbound email.

Data protection basis: DPA (domestic)

Details

Eingehende E-Mail-Kommunikation an info@workouttogether.de; AVV gemäß DSK-Muster unterzeichnet; Standort der E-Mail-Server: Berlin/DE.

Inbound email communication to info@workouttogether.de; DPA per DSK template signed; mail-server location: Berlin/DE.

Anthropic Ireland, Limited

IE / USA

Aufgabe: KI-gestützte Trainingsplan-Erzeugung: verarbeitet ausschließlich eine Positiv-Liste nicht-sensibler Planungs-Parameter (Opt-in; aktiv erst nach gesonderter Einwilligung und Freischaltung). Auftragsverarbeiter ist Anthropic Ireland, Limited; sie setzt Anthropic, PBC (USA) als Unterauftragsverarbeiter ein.

Datenschutz-Grundlage: EU-Standardvertragsklauseln + TIA (liegen vor) — Funktion ruht

What they do: AI-assisted training-plan generation: processes only an allow-list of non-sensitive planning parameters (opt-in; active only after separate consent and activation). The processor is Anthropic Ireland, Limited, which uses Anthropic, PBC (USA) as its sub-processor.

Data protection basis: EU Standard Contractual Clauses + TIA (in place) — feature dormant

Details

Opt-in-Funktion, aktiv erst nach gesonderter Einwilligung „KI-Trainingsplan" (Art. 6 Abs. 1 lit. a DSGVO) und Freischaltung; derzeit ruhend — die Empfänger-Kohorte ist leer, es werden keine Daten an Anthropic übermittelt. Übermittelt wird ausschließlich eine Positiv-Liste nicht-sensibler Planungs-Parameter: Disziplin, Ereignis-Datum, Ziel-Ereignis aus einer festen Liste, Ziel-Zeit oder „nur ankommen", die Plan-Länge in Wochen, selbst-berichtete Umfang- und Erfahrungs-Bänder, das wöchentliche Zeitbudget, bevorzugte Trainingstage und der Tag der langen Einheit, die Verfügbarkeits-Fenster (Wochentag, Uhrzeit-Fenster, passende Sportarten), ein selbst angegebenes Vergleichsergebnis (Disziplin, Distanz, Zeit), Ausgleichs-Sportarten, bis zu drei selbst angegebene Testwettkämpfe (Datum, Disziplin, Ereignis aus der Liste, Absicht, gegebenenfalls Tempo-Vorgabe) samt der daraus berechneten Regenerations-Abstände sowie Einheitensystem, Sprache und die gewählte Vorgabe-Größe je Sportart. Nicht übermittelt werden Name, E-Mail-Adresse, genauer Standort, Konto-Kennung sowie jegliche Gesundheits-, Herzfrequenz- oder Verletzungs-Daten; auch ein selbst eingegebener Ereignis-Name verlässt die Plattform nicht. Die Auswahl „Vorgabe über Herzfrequenz" ist dabei die Wahl einer Vorgabe-Art und kein Herzfrequenz-Wert. Vertragspartner und Auftragsverarbeiter ist Anthropic Ireland, Limited; die Verarbeitung erfolgt durch deren Unterauftragsverarbeiter Anthropic, PBC in den USA. Übermittlungsgrundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst schriftlichem Transfer-Impact-Assessment; die Aufbewahrung beim Anbieter beträgt derzeit 30 Tage — von den Missbrauchserkennungs-Systemen des Anbieters markierte Inhalte können darüber hinaus länger aufbewahrt werden. Der AVV liegt vor: das Anthropic Data Processing Addendum ist durch Verweis Bestandteil der Commercial Terms of Service und bedarf keiner gesonderten Unterzeichnung.

Opt-in feature, active only after the distinct „AI training plan" consent (Art. 6(1)(a) GDPR) and activation; currently dormant — the recipient cohort is empty and no data is transferred to Anthropic. Only an allow-list of non-sensitive planning parameters is transmitted: discipline, event date, target event from a fixed catalog, target time or „just finish", the plan length in weeks, self-reported volume and experience bands, the weekly time budget, preferred training days and the long-session day, the availability windows (weekday, time window, matching sports), one self-reported benchmark result (discipline, distance, time), relief sports, up to three self-declared tune-up races (date, discipline, catalog event, intent, and where applicable a pace target) together with the recovery spacing derived from them, plus unit system, language and the chosen prescription metric per sport. Name, email address, precise location, account id and any health, heart-rate or injury data are NOT transmitted, and a self-entered event name never leaves the platform. Choosing „prescribe by heart rate" is a choice of prescription type, not a heart-rate value. The contracting party and processor is Anthropic Ireland, Limited; processing is carried out by its sub-processor Anthropic, PBC in the United States. Transfer basis: EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) plus a written Transfer Impact Assessment; the provider currently retains this data for 30 days — content flagged by the provider’s abuse-detection systems may be retained beyond that. The DPA is in place: the Anthropic Data Processing Addendum is incorporated by reference into the Commercial Terms of Service and needs no separate signature.

Eine Kopie der Standardvertragsklauseln für die Auftragsverarbeiter, deren Grundlage die EU-Standardvertragsklauseln sind, erhältst du auf Anfrage unter info@workouttogether.de.

A copy of the standard contractual clauses for the processors whose basis is the EU Standard Contractual Clauses can be obtained on request at info@workouttogether.de.