# Auftragsverarbeiter & Subprozessoren

_Stand: 2026-06-11_

Verantwortlicher im Sinne der DSGVO:
Moritz Michaelis, Nesserlander Straße 120, 26723 Emden, Deutschland — support@easy-manuscript.com

Diese Liste nennt alle Dienstleister, mit denen für den Betrieb von Manuscript ein Auftragsverarbeitungsvertrag (AVV / DPA) gem. Art. 28 DSGVO besteht. Stand und Garantien für Drittlandtransfers sind je Eintrag dokumentiert. Änderungen werden hier veröffentlicht; auf Wunsch informieren wir registrierte B2B-Kunden zusätzlich per E-Mail.

## EU-Auftragsverarbeiter (kein Drittlandtransfer)

| Dienstleister | Sitz | Zweck | AVV / Rechtsgrundlage |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (Falkenstein/Nürnberg) | Server-Hosting, Object Storage | AVV nach Art. 28 DSGVO, EU-Verarbeitung |
| Supabase, Inc. (EU-Region Frankfurt) | EU (Hosting), USA (Muttergesellschaft, DPF-zertifiziert) | Datenbank, Auth, Storage | DPA: https://supabase.com/legal/dpa |
| Plausible Insights OÜ | Estland | Pseudonyme Webanalyse (cookiefrei) | DPA: https://plausible.io/dpa |
| Dash0 GmbH | Deutschland | Observability (Traces/Metrics/Logs) | AVV nach Art. 28 DSGVO, EU-Verarbeitung |

## Drittland-Auftragsverarbeiter (USA) — nur bei aktiver Funktion

| Dienstleister | Sitz | Zweck | AVV / Transfergrundlage |
|---|---|---|---|
| Anthropic, PBC | USA (San Francisco) | KI-Textanalyse (Lektor, Ghostwriter, Co-Author) — nur bei aktiver Nutzung | DPA: https://www.anthropic.com/legal/data-processing-addendum — SCCs Module 2 (per Verweis Bestandteil der Commercial Terms). **Nicht** DPF-zertifiziert. Vertraglicher Ausschluss von Modell-Training. |
| Resend (Plus Five Five, Inc.) | USA | Transaktionale E-Mails | DPA: https://resend.com/legal/dpa — DPF-zertifiziert (Art. 45 DSGVO) |
| Cloudflare, Inc. | USA / Deutschland (Cloudflare Germany GmbH) | CDN, DDoS-Schutz, Bot-Mitigation (Turnstile) | DPA: https://www.cloudflare.com/cloudflare-customer-dpa — DPF-zertifiziert; EU-Endpoints werden bevorzugt |
| Functional Software, Inc. d/b/a Sentry | USA | Error-Tracking (nur bei aktivierter Fehler-Protokollierung; keine Dokumenteninhalte) | DPA: https://sentry.io/legal/dpa — DPF-zertifiziert |

**Hinweis Firecrawl:** Die PDF-/Webseiten-Inhaltsanalyse beim Quellen-Import erfolgt seit 2026-06-11 durch eine selbst betriebene Instanz der Open-Source-Software Firecrawl auf eigenen Servern in Deutschland (Hetzner). SideGuide Technologies, Inc. (Firecrawl) ist damit **kein Auftragsverarbeiter mehr**; es findet keine Drittlandübermittlung statt.

## Sub-Auftragsverarbeiter (über die o. g. Auftragsverarbeiter)

Folgende Sub-Auftragsverarbeiter werden indirekt eingesetzt:

| Sub-Prozessor | Eingesetzt durch | Zweck |
|---|---|---|
| Amazon Web Services, Inc. | Anthropic | Cloud-Infrastruktur für die Claude API (US- und teilweise EU-Regionen) |
| Google Cloud (Google LLC) | Anthropic | Cloud-Infrastruktur für die Claude API (US-Regionen) |
| Amazon Web Services, Inc. | Supabase | Cloud-Infrastruktur für die EU-Datenbank-Region (Frankfurt) |

Aktuelle Anthropic-Subprozessoren: https://trust.anthropic.com

## Eigenständig Verantwortliche (keine AVV erforderlich)

Folgende Dienste verarbeiten Daten als eigenständig Verantwortliche; ein AVV nach Art. 28 DSGVO ist nicht einschlägig. Drittlandtransfers basieren auf dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO):

- Stripe Payments Europe Ltd. (Dublin) mit Stripe, Inc. (USA, DPF) — Zahlungsabwicklung
- Google Ireland Ltd. mit Google LLC (USA, DPF) — OAuth-Login (nur bei aktiver Wahl)
- Apple Distribution International Ltd. mit Apple Inc. (USA, DPF) — OAuth-Login (nur bei aktiver Wahl)

## Änderungshistorie

- 2026-04-26: Initiale Veröffentlichung. Anthropic-DPA-Link und AWS/Google-Cloud-Sub-Prozessoren explizit aufgenommen.
- 2026-06-11: Firecrawl-Transfergrundlage korrigiert (kein DPF-Listing; Art. 49 Abs. 1 lit. b DSGVO), Rechtspersonen Resend/Firecrawl präzisiert.
- 2026-06-11 (später): Firecrawl auf selbst betriebene Instanz (eigene Server, Deutschland) umgestellt — aus der Liste der US-Auftragsverarbeiter entfernt, keine Drittlandübermittlung mehr.