Rechtliches
Unterauftragsverarbeiter.
Für die Daten, die du mit Attributa verarbeitest, bist du verantwortlich; wir arbeiten in deinem Auftrag (Art. 28 DSGVO). Diese Dienste setzen wir dafür ein – mit Zweck, Daten, Ort und Transfergrundlage.
Wer was in deinem Auftrag verarbeitet
„Immer“ heißt: für jeden Kunden im Einsatz. „Bei Nutzung“ heißt: nur, wenn du die Funktion verwendest. Über Änderungen informieren wir dich nach dem Auftragsverarbeitungsvertrag.
| Unterauftragsverarbeiter | Zweck | Daten | Ort | Rechtsgrundlage / Transfer | Wann aktiv |
|---|---|---|---|---|---|
| Google Cloud EMEA Limited70 Sir John Rogerson’s Quay, Dublin 2, Irland | Betrieb der Plattform: Firebase Hosting (Dashboard, Skripte, Endpunkte des Collectors), Cloud Functions, Firestore, BigQuery (Rohdaten der Datenanbindung), Cloud Run (Prognosemodelle), Secret Manager (Zugangsschlüssel der Integrationen), Firebase Authentication (Anmeldung) | Tracking-Ereignisse (Adresse, Referrer, Kampagnenparameter, gesalzene Hashes von IP und User-Agent, Land, Netzbetreiber, Gerätetyp), Bot-Prüfsignale, Bestellungen, Kampagnen- und Kostendaten, Firmenprofile, Kontodaten der Nutzer (E-Mail, bei Google-Anmeldung Name und Profilbild) | Frankfurt am Main (europe-west3) für Functions, Firestore, BigQuery, Cloud Run und Integrations-Schlüssel; Firebase Hosting weltweit verteilt; Firebase Authentication in den USA | Art. 28 DSGVO, Google Cloud Data Processing Addendum; Drittland: Standardvertragsklauseln oder EU-US Data Privacy Framework (Google LLC zertifiziert) | immerimmer |
| Airbyte, Inc.2261 Market Street #4381, San Francisco, CA 94114, USA | Datenanbindung: Abruf der Daten verbundener Werbe-, Analyse-, Shop- und CRM-Konten und Laden nach BigQuery in Frankfurt | Daten der verbundenen Konten (Kampagnen, Kosten, Klicks, Conversions; bei Shop- und CRM-Plattformen auch personenbezogene Daten deiner Kundschaft) sowie die Zugangsdaten dieser Konten | Datenverarbeitung in der EU (unser Workspace); Steuerungsebene in den USA: Konfiguration, Zeitpläne, Job-Metadaten, Cursor- und Primärschlüsselwerte | Art. 28 DSGVO, Data Processing Addendum von Airbyte; Drittland: Standardvertragsklauseln | bei Nutzungnur bei Nutzung der Datenanbindung |
| Anthropic Ireland, Limited6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland | Assistent „Frag Attributa“ und Entwürfe für Kundenberichte | Summen der Kennzahlen, Frage und bisheriger Verlauf, Bezeichnungen aus den Daten (Site-Name, Kampagnen, Quellen, Referrer-Domains, Seitenpfade, Netzbetreiber, eigene Kanäle, GA4-Kanalgruppen, Titel von Maßnahmen, Namen von Szenarien); keine Roh-IPs, User-Agents, E-Mail-Adressen, vollständigen URLs oder Namen von Teammitgliedern | außerhalb der EU (USA); Ein- und Ausgaben laut Anthropic grundsätzlich nach 30 Tagen gelöscht | Art. 28 DSGVO, Data Processing Addendum von Anthropic; Drittland: Standardvertragsklauseln | bei Nutzungnur nach Aktivierung durch Owner oder Admin deiner Organisation |
| DataForSEO OÜVesivärava tn 50-201, 10152 Tallinn, Estland | KI-Sichtbarkeit: deine Prompts an ChatGPT, Claude, Gemini und Perplexity stellen und die Antworten zurückgeben | Prompt-Text, Modell, Land der Websuche, technische Auftragskennung; keine Daten deiner Website-Besucher | Estland (EU); Büro in Charkiw (Ukraine); Dienstleister von DataForSEO u. a. in den USA | Art. 28 DSGVO, Data Processing Agreement von DataForSEO; Drittland: Standardvertragsklauseln laut DataForSEO | bei Nutzungnur bei Nutzung der KI-Sichtbarkeit |
| Snitcher B.V.Oude Enghweg 2, 1217 JC Hilversum, Niederlande | Unternehmenssignale über IP-zu-Firma (Firmenzuordnung ohne eigenes Snitcher-Konto) | IP-Adresse je Sitzungsstart, nur in der Anfrage und bei uns nie gespeichert; zurück kommt ein Firmenprofil | laut Snitcher Frankfurt am Main (AWS) | Art. 28 DSGVO, Vertrag mit Snitcher vor Aktivierung | nicht aktivderzeit nicht aktiv |
| Mailgun Technologies, Inc.112 E Pecan St #1135, San Antonio, TX 78205, USA | Versand von E-Mails aus dem Produkt: Wochen-Digest, Test-Nachrichten, Hinweise zu Konto, Testphase, Support und Löschung | E-Mail-Adresse der Empfänger aus deinem Team, Betreff und Inhalt der Mail (im Digest Kennzahlen und Namen deiner Website, Kanäle und Kampagnen), technische Versanddaten | EU-Region von Mailgun (Nachrichtendaten bleiben laut Mailgun in der Region); Unternehmen in den USA | Art. 28 DSGVO, Data Processing Agreement von Mailgun; Drittland: Standardvertragsklauseln | nicht aktivderzeit nicht aktiv – ab Freischaltung des Mailversands immer |
Nicht in dieser Liste – und warum
- Snitcher (dein eigenes Konto)
- Verbindest du dein eigenes Snitcher-Konto, ruft Attributa mit deinem API-Token die Ergebnisse aus deinem Konto ab. Snitcher arbeitet dann in deinem Vertrag, nicht in unserem. Den Token speichern wir im Google Secret Manager in Frankfurt.
- Meta (Conversions API)
- Verbindest du die Conversions API, senden wir auf deine Weisung bezahlte Käufe mit Einwilligung an dein Meta-Pixel. Meta wählst du selbst; für diese Daten gelten die Business-Tools-Bedingungen zwischen dir und Meta. Meta ist dein Empfänger, nicht unser Unterauftragsverarbeiter.
- Formcarry
- Über Formcarry erhalten wir bei einer Testanmeldung einen Hinweis für unseren Vertrieb (E-Mail des Kontoinhabers, Organisation, Domain, Herkunft der Anmeldung) und deine Support- und Kündigungsanfragen aus dem Produkt (Thema, Text, Seite, deine E-Mail-Adresse). Diese Daten verarbeiten wir als eigener Verantwortlicher, nicht in deinem Auftrag; Details stehen in der Datenschutzerklärung.
- Datenquellen und eigene Ziele
- Plattformen, deren Daten du über die Datenanbindung einbindest (z. B. Google Ads, GA4, Shopify), und Ziele, die du selbst einträgst (z. B. Slack-Webhook), sind deine Quellen bzw. Empfänger, keine Dienstleister von uns.
Wie wir Daten auf think11.de und für dein Konto verarbeiten, steht in der Datenschutzerklärung. Fragen zur Auftragsverarbeitung beantworten wir über Kontakt.