Nach DSGVO Artikel 28 muss jedes Unternehmen, das einen Auftragsverarbeiter (wie Zenovay) für die Verarbeitung von EU-personenbezogenen Daten nutzt, ein Data Processing Agreement (DPA) mit diesem Auftragsverarbeiter haben. Wir veröffentlichen ein Standard-DPA, das von Zenovay vorab unterzeichnet ist — Sie benötigen keine Verhandlungen oder weitere Unterschriften.
Wo das DPA zu finden ist
Das aktuelle DPA ist auf zenovay.com/legal/dpa in allen sechs Sprachen veröffentlicht (en, de, fr, es, pt-BR, ja). Sie können es ohne Anmeldung lesen.
Wie es verbindlich wird
Sie müssen nicht auf einen separaten „Akzeptieren"-Button klicken oder etwas zurückschicken. Das veröffentlichte DPA wird automatisch ein verbindlicher Teil Ihres Vertrags, wenn Sie die Zenovay-Vereinbarung abschließen — das heißt, wenn Sie unsere Nutzungsbedingungen bei der Registrierung akzeptieren. Von diesem Punkt an regelt das DPA die Verarbeitung Ihrer personenbezogenen Daten durch Zenovay.
Wenn Ihr Rechtsteam eine gegengezeichnete Kopie (eine handschriftliche oder digitale Unterschrift auf dem Dokument) oder ein benutzerdefiniertes Addendum benötigt, schreiben Sie bitte eine E-Mail an [email protected] mit dem Namen Ihrer Organisation und den Kontaktdaten des Unterzeichners. Wir werden das arrangieren. Es gibt keine Gebühr.
Was abgedeckt ist
Das DPA deckt ab:
- Gegenstand und Dauer der Verarbeitung.
- Art, Zweck und Arten verarbeiteter personenbezogener Daten.
- Pflichten von Zenovay als Auftragsverarbeiter (Sicherheit, Vertraulichkeit, Datenschutzverletzungsmeldung).
- Liste der Sub-Auftragsverarbeiter und Ihr Widerspruchsrecht.
- Mechanismen für internationale Datenübertragungen (Standardvertragsklauseln + EU-US Data Privacy Framework).
- Audit-Rechte, Löschung / Rückgabe von Daten bei Beendigung.
- Haftungs- und Freistellungsbedingungen.
Subprozessor-Liste
Das DPA listet jeden Subprozessor auf, den Zenovay nutzt. Die aktuelle Liste ist auch auf der öffentlichen /legal/subprocessors-Seite und beinhaltet:
- Cloudflare (Hosting, Edge Compute, R2 Object Storage)
- Supabase (Postgres-Datenbank, Auth)
- Stripe (Zahlungsverarbeitung)
- Resend (transaktionale E-Mail)
- Mapbox (Geolokalisierung, 3D-Globus)
- OpenAI (AI-Insights, über Cloudflare AI Gateway)
Die /legal/subprocessors-Seite ist die verbindliche, aktuelle Liste. Wir benachrichtigen Sie mindestens 30 Tage vor dem Hinzufügen eines neuen Subprozessors. Wenn Sie Einwände haben, können Sie den Vertrag gemäß DPA kündigen.
EU-Datenresidenz
Seit 2026-04-24 ist die primäre Datenbank in Frankfurt (eu-central-1). Das DPA reflektiert dies in der Klausel zu internationalen Übertragungen — für US-basierte Subprozessoren verlassen wir uns auf Standardvertragsklauseln, gestützt durch die EU-US-Data-Privacy-Framework-Zertifizierungen.
Siehe Datenresidenz für die vollständige Residenz-Karte.
DPA-Updates
Wesentliche Änderungen am DPA werden versioniert. Wir benachrichtigen Sie per E-Mail mindestens 30 Tage, bevor eine neue Version verbindlich wird. Sie können Änderungen widersprechen — die rechtlichen Optionen folgen dem Standardvertragsrecht.
Plan-Anwendbarkeit
Das Standard-DPA ist auf jedem Plan einschließlich Free verfügbar. Für Organisationen, die individuelle DPA-Zusatzklauseln benötigen (branchenspezifische Klauseln, BAA-Äquivalent für Healthcare etc.), können Enterprise-Kunden zusätzliche Bedingungen mit ihrem Account-Team verhandeln.