Transferfolgenabschätzungen gemäß Schrems II | Stand: 2026-02-07 | Version 2.0
Eine Transfer Impact Assessment (TIA) dokumentiert die Bewertung von Datenübermittlungen in Drittländer außerhalb des EWR. Sie beantwortet die Frage: "Können die Rechte der betroffenen Personen bei dieser Übermittlung wirksam geschützt werden?"
Diese Bewertung ist erforderlich für Übermittlungen auf Basis von Standardvertragsklauseln (SCCs) gemäß der Schrems II-Entscheidung des EuGH (C-311/18).
Die Übermittlungen erfolgen im Rahmen von Unterauftragsverarbeitungen gemäß Art. 28 Abs. 4 DSGVO. Die Verarbeitungskette ist:
Alle nachfolgenden Übermittlungen nutzen daher SCC Modul 3 (Processor → Processor).
Die Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert; eine vertiefte Schrems-II-Risikoprüfung ist daher nicht erforderlich, wird jedoch im Rahmen des allgemeinen Risikomanagements berücksichtigt.
Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Es werden ausschließlich die für den jeweiligen Zweck erforderlichen Daten übermittelt. Personenbezogene Daten werden nur in dem Umfang verarbeitet, der für die Erbringung der jeweiligen Dienstleistung notwendig ist.
Kundenwahlmöglichkeit
Kunden können bestimmte Drittanbieter-Integrationen (z.B. KI-Funktionen) deaktivieren und so die Übermittlung personenbezogener Daten an diese Anbieter vermeiden. Die entsprechenden Einstellungen sind im Dashboard verfügbar.
Verschlüsselungskontrolle
Verschlüsselungsschlüssel für die Datenbank werden nicht durch US-Behörden kontrolliert und liegen außerhalb des direkten Zugriffs der Dienstanbieter. Die Entschlüsselung erfolgt ausschließlich im Rahmen der autorisierten Datenverarbeitung.
| Datenexporteur | Datenimporteur | Land | Rechtsmechanismus |
|---|---|---|---|
| Hebelki (Auftragsverarbeiter) | Neon | USA (AWS) | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
| Hebelki (Auftragsverarbeiter) | OpenRouter | USA | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
| Hebelki (Auftragsverarbeiter) | Twilio | USA | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
| Hebelki (Auftragsverarbeiter) | Vercel | USA / Global (Edge) | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
| Hebelki (Auftragsverarbeiter) | Fly.io | USA / EU (Region wählbar) | SCCs (Modul 3: Processor → Processor, Art. 28 Abs. 4 DSGVO) |
Hinweis: Es werden standardmäßig keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO übermittelt.
Ja. US-Anbieter unterliegen potenziell FISA Section 702 und EO 12333. Diese Gesetze ermöglichen US-Behörden unter bestimmten Umständen den Zugriff auf Daten für Zwecke der nationalen Sicherheit.
Die verarbeiteten Daten unterliegen einer geringen Wahrscheinlichkeit für behördlichen Zugriff, basierend auf folgenden objektiven Kriterien:
Unter Anwendung der EDPB-Empfehlungen 01/2020 zur ergänzenden Maßnahmen für Übermittlungen kommen wir zu folgendem Ergebnis:
"Ein behördlicher Zugriff wäre selbst im Fall einer Anordnung nur unter erheblichem rechtlichem und technischem Aufwand möglich und stünde außer Verhältnis zum verfolgten Zweck. Die Art der verarbeiteten Daten (geschäftliche Buchungsdaten, Kontaktinformationen) weist keinen erkennbaren nachrichtendienstlichen Wert auf. Die implementierten technischen Maßnahmen (Verschlüsselung, Zugriffskontrollen, Zero Data Retention) reduzieren das Risiko weiter."
Bereitstellung von PostgreSQL-Datenbankdiensten für die SaaS-Plattform
Datenkategorien
Schutzmaßnahmen
KI/LLM-API-Gateway für Chatbot-Verarbeitung
Datenkategorien
Schutzmaßnahmen
Zusätzliche Hinweise
OpenRouter fungiert als API-Gateway. Je nach Modellauswahl werden weitere Unterauftragsverarbeiter (z.B. Anthropic, Google) eingebunden, die jeweils eigenen technischen und organisatorischen Maßnahmen unterliegen.
Diese Anbieter sind in der Unterauftragsverarbeiterliste aufgeführt und vertraglich durch SCCs bzw. gleichwertige Garantien eingebunden.
WhatsApp- und SMS-Messaging-Dienste
Datenkategorien
Schutzmaßnahmen
App-Hosting und Edge-Funktionen für die Webanwendung
Datenkategorien
Schutzmaßnahmen
Worker-Services für Hintergrundaufgaben (n8n Workflows)
Datenkategorien
Schutzmaßnahmen
Unter Berücksichtigung der Art der Daten (primär geschäftliche Buchungsdaten und Kontaktinformationen), des Zwecks der Verarbeitung (Bereitstellung von SaaS-Infrastrukturdiensten), des rechtlichen Rahmens im Zielland (USA mit FISA 702/EO 12333, jedoch ohne systematischen Fokus auf diese Datenkategorien), der Notwendigkeit und Verhältnismäßigkeit eines hypothetischen behördlichen Zugriffs (hoher Aufwand bei geringem nachrichtendienstlichem Wert), und der implementierten technischen und organisatorischen Schutzmaßnahmen (Verschlüsselung, Zugriffskontrollen, vertragliche Bindungen, Zero Data Retention) kommt der Datenexporteur zu dem Schluss, dass die Übermittlungen das durch EU-Recht garantierte Schutzniveau nicht untergraben und die Rechte der betroffenen Personen weiterhin wirksam geschützt sind.
OpenRouter stellt das höchste Risiko in diesem Stack dar, da Chat-Nachrichten mit potenziell sensiblen Kundeninformationen verarbeitet werden.
Unterauftragsverarbeiterkette (API-Gateway-Modell)
OpenRouter fungiert als API-Gateway. Je nach Modellauswahl werden weitere Unterauftragsverarbeiter (z.B. Anthropic, Google) eingebunden, die jeweils eigenen technischen und organisatorischen Maßnahmen unterliegen.
Diese Anbieter sind in der Unterauftragsverarbeiterliste aufgeführt und vertraglich durch SCCs bzw. gleichwertige Garantien eingebunden.
Risikomitigierende Faktoren:
Empfehlung: Kunden sollten darauf hingewiesen werden, keine hochsensiblen Daten (z.B. Gesundheitsinformationen, Finanzdetails) über den Chatbot zu übermitteln. Diese Warnung ist im Chatbot-Disclaimer enthalten.
Erstellt von
Hebelki Compliance
Datum
2026-02-07
Nächste Überprüfung
Februar 2027
Diese TIA wird bei wesentlichen Änderungen der Infrastruktur, nach Sicherheitsvorfällen, bei neuen regulatorischen Anforderungen oder bei Änderungen der Rechtslage in Drittländern aktualisiert.
Version 2.0 | Stand: 2026-02-07
Bei Fragen wenden Sie sich an privacy@hebelki.de