Auf dieser Seite

Gültig ab: 2026-05-14 - Version: 1.10

Diese Seite ist das maßgebliche, direkt verlinkbare Verzeichnis aller Unterauftragsverarbeiter, die fremverk zur Erbringung des Dienstes einsetzt. Sie ist in AVV §10 und AVV Anhang B zugesagt, und Einkaufsteams können diese URL direkt in ihrer Lieferantenprüfung angeben.

Zusage zur Benachrichtigung über Änderungen #

Jede Aufnahme, jeder Austausch und jede wesentliche Änderung in der Liste der Unterauftragsverarbeiter wird 30 Tage im Voraus über zwei parallele Kanäle nach AVV §10.2 angekündigt: (a) eine direkte E-Mail an den hinterlegten Rechnungskontakt der Organisation jedes Kunden (der vertragliche Kanal – die Zustellung wird im Audit-Log von fremverk mit den Message-IDs des E-Mail-Anbieters pro Empfänger festgehalten) UND (b) eine öffentliche Veröffentlichung auf dieser Seite und über die Security-Notices-Mailingliste (als Service für Adressen außerhalb der Rechnungsstellung, etwa Sicherheitsteams und Compliance-Verantwortliche). Kunden, die einem neuen Unterauftragsverarbeiter aus dokumentierten Datenschutzgründen widersprechen, können das Kündigungsrecht nach AVV §10.2 ausüben und erhalten im Voraus bezahlte, nicht genutzte Entgelte anteilig erstattet.

Bei einer Aufnahme im Notfall (z. B. dem sofortigen Austausch eines Unterauftragsverarbeiters, der selbst Ursache eines Sicherheitsvorfalls ist) veröffentlicht fremverk die Änderung innerhalb von 24 Stunden und verlängert die Widerspruchsfrist auf 30 Tage nach der Aufnahme. Siehe AVV §10.3.

Benachrichtigungen über Änderungen abonnieren: Security-Notices-Mailingliste abonnieren – Antworten und sonstige Fragen gehen an security-notices@frem.sh (der Alias leitet an compliance@frem.sh weiter).

Aktuelle Unterauftragsverarbeiter #

Unterauftragsverarbeiter	Zweck	Standort	Zertifizierungen	AVV / SCCs
Deutsche Telekom AG (T Cloud Public)	Rechenleistung, Speicher, Netzwerk – jeder kundenseitige Bereich	Biere & Magdeburg, DE	ISO 27001, ISO 27017, ISO 27018, BSI C5 Typ 2, TISAX	AVV von T Cloud Public – Unternehmen in der EU, keine US-Muttergesellschaft
Bunny CDN d.o.o.	Auslieferung am Edge, DDoS-Abwehr und Rate Limiting für `frem.sh` und vom Kunden ausgelieferte statische Assets (keine Web Application Firewall aktiviert)	EU-PoPs (Hauptsitz Slowenien)	ISO 27001 (2025), SOC 2 Type II (2023)	AVV von Bunny – Unternehmen in der EU, keine US-Muttergesellschaft
Lettermint B.V.	Ausgehende Transaktions-E-Mails (Verifizierung, Mahnwesen, Sicherheitshinweise)	Zwolle, NL – Upstream OVHcloud SAS (FR) + UpCloud Ltd (Rechenzentrum Amsterdam NL, in Finnland eingetragen)	Nachweise zu Zertifizierungen des Anbieters ausstehend (NL – keine US-Muttergesellschaft)	AVV von Lettermint – Unternehmen in der EU, keine US-Muttergesellschaft
Mollie B.V.	Zahlungsabwicklung (Mandatserstellung, wiederkehrende Abbuchungen, Erstattungen)	Amsterdam, NL	PCI-DSS Level 1	AVV von Mollie – Unternehmen in der EU, keine US-Muttergesellschaft
Heinlein Hosting GmbH (mailbox.org)	Hosting der gemeinsamen Postfächer (`support@`, `abuse@`, `security@`, `compliance@`, `hello@`, `ops@`, `enterprise@`, `info@fremverk.com`)	Berlin, Deutschland	ISO 27001, BSI C5, BSI IT-Sicherheitskennzeichen (TR 03108)	AVV von Heinlein Hosting – Unternehmen in der EU, keine US-Muttergesellschaft
Visma Dinero ApS	Ausstellung von Rechnungsbelegen und deren gesetzliche Aufbewahrung über 5 Jahre nach Bogføringsloven §10 – erhält den rechtlichen Namen der Organisation, die E-Mail-Adresse des Rechnungskontakts, die USt-IdNr., die Rechnungspositionen und die Referenz der Mollie-Zahlungs-ID. Keine Repository-Inhalte, keine Inhalte des Audit-Logs, keine PAN.	Kopenhagen, DK	ISO 27001 (in DK ausgestellt, keine US-Muttergesellschaft)	AVV von Visma Dinero – Unternehmen in der EU, keine US-Muttergesellschaft

Zur Transparenz offengelegt – keine Unterauftragsverarbeiter nach Artikel 28 #

Die folgenden Vertragspartner berühren die Plattform, verarbeiten aber keine personenbezogenen Kundendaten im Auftrag von fremverk und sind daher keine Unterauftragsverarbeiter nach Artikel 28 DSGVO. Sie stehen hier, damit das Verzeichnis für Kunden vollständig ist:

Vertragspartner	Rolle	Standort	Warum kein Unterauftragsverarbeiter
Actalis S.p.A. (Aruba Group)	Zertifizierungsstelle für Origin-TLS von `*-origin.frem.sh` (eIDAS-QTSP)	Italien, EU	Die CA erhält im ACME-DNS-01-Ausstellungsablauf nur FQDNs – nie personenbezogene Daten. Nach AVV §A.4 aus Anhang B ausgenommen. D-TRUST GmbH (Deutschland, eIDAS-QTSP) bleibt als benannte, bezahlte Ausweichlösung bestehen.
VIES-Dienst der EU-Kommission	Prüfung der USt-IdNr. bei der Registrierung (Voraussetzung für das Reverse-Charge-Verfahren)	EU-Institutionen	Nichtkommerzielle Abfrage bei einer öffentlichen Stelle; übermittelt wird nur die USt-IdNr. (eine Registrierungsnummer des Unternehmens). Offengelegt in Datenschutzerklärung §3.3.
Simply.com A/S	Registrar + DNS für die Weiterleitungsdomains der Marke `fremforge.{com,eu,dk}` (alle 301 → `www.frem.sh`)	Dänemark	Über Simply.com laufen keine personenbezogenen Kundendaten – nur DNS-Abfragen für die Weiterleitungsziele. Kundenseitige Bereiche nutzen BunnyDNS (Bunny CDN d.o.o., Slowenien – derselbe Unterauftragsverarbeiter wie für CDN/WAF/Edge, bereits oben in der Tabelle der Unterauftragsverarbeiter nach Anhang B offengelegt).

Was wir nicht einsetzen #

Kein CDN- oder Edge-Anbieter mit US-Muttergesellschaft liegt im Anfragepfad kundenseitiger Endpunkte.
Kein Auftragsverarbeiter für Analytics oder Telemetrie. Phase 1 kommt ganz ohne Produkt-Analytics aus – im Einklang mit Cookie-Richtlinie und Datenschutzerklärung (keine Analytics, kein Consent-Banner). Kein Google Analytics, kein Mixpanel, kein Segment, kein Plausible. Selbst gehostetes Plausible (T Cloud Public eu-de) steht auf der Roadmap nach dem Start; falls und sobald es eingesetzt wird, erscheint es im Änderungsprotokoll unten und als eigener First-Party-Auftragsverarbeiter der Stufe 1 in Anhang B (die Daten bleiben im T-Cloud-Public-Konto von fremverk; kein Abfluss an Dritte).
Kein KI-/LLM-Anbieter wird auf Kundeninhalte angewendet. Funktionen mit Agenten-Mandat (nach AVV §11A) handeln auf Anweisung des Kunden zur Laufzeit und leiten Inhalte nicht über das Modell eines Dritten; fremverk bewahrt Kundeninhalte in keinem Modellkorpus auf. Die Unterauftragsverarbeiter geben dieses Verbot vertraglich nach unten weiter – siehe KI-Trainingsverbote bei den Unterauftragsverarbeitern unten.
Kein US-Zahlungsdienstleister. Mollie (NL) wickelt jede Zahlung ab.
Kein Anbieter von Bot-Schutz-Widgets. Die Forgejo-Registrierung nutzt selbst gehostetes Altcha (MIT-lizenziert, HMAC-signierter PoW), das im Prozess des API-Monolithen auf demselben T-Cloud-Public-Cluster läuft; kein Cloudflare Turnstile, kein hCaptcha, kein Google reCAPTCHA.

Position zum CLOUD Act #

Jeder Eintrag oben ist ein in der EU kontrolliertes Unternehmen ohne US-Muttergesellschaft. Auf keinem Verarbeitungspfad besteht eine Angriffsfläche für den CLOUD Act. Ein Transfer Impact Assessment nach Schrems II ist nicht erforderlich, weil keine personenbezogenen Kundendaten außerhalb der EU/des EWR übermittelt werden.

Die vollständige Position steht in AVV §11.3 und im Trust Center – Abschnitt Schrems II.

KI-Trainingsverbote bei den Unterauftragsverarbeitern #

Die Zusage „kein KI-Training mit Kundendaten“ in AVV §6A bindet jedes Unternehmen in der Kette der Unterauftragsverarbeiter. Die öffentlichen Zusagen der einzelnen Unterauftragsverarbeiter, auf die wir uns stützen, stehen unten zum Abgleich. Wo ein Unterauftragsverarbeiter ein Opt-in für Modelltraining anbietet, hat fremverk es nicht aktiviert.

Unterauftragsverarbeiter	Öffentliche Zusage, auf die wir uns stützen
Deutsche Telekom AG (T Cloud Public / T Cloud Public)	Leistungsbeschreibung und AVV von T Cloud Public – IaaS-Ebene; die Plattform greift nicht auf Inhalte der Mandanten zu. Die KI-Leitlinien von T Cloud Public verpflichten bei von der Telekom entwickelter KI zu Datenminimierung und Zweckbindung, und der IaaS-AVV verbietet jede Nutzung von Kundendaten für andere Zwecke als die Erbringung des Dienstes.
Bunny CDN d.o.o.	AVV von Bunny – Bunny verarbeitet Datenverkehr nur für Caching, TLS-Terminierung, DDoS-Abwehr und Rate Limiting; es werden keine Rechte für Modelltraining eingeräumt. Bunnys Offenlegung zur KI-Richtlinie bestätigt, dass kein KI-Modell mit den Inhalten des Kundenverkehrs trainiert wird.
Lettermint B.V.	AVV und Datenschutzerklärung von Lettermint – Umfang Transaktions-E-Mail; reines Relay für ausgehende E-Mails. Empfängerlisten der Kunden werden nicht für kontoübergreifendes Modelltraining verwendet, und kein Opt-in für KI oder Modelltraining wurde aktiviert.
Mollie B.V.	Datenschutzerklärung von Mollie und Umfang nach PSD2 / PCI-DSS – nur Transaktionsabwicklung; Mollie trainiert für den Händler keine KI-Modelle mit Transaktionsmetadaten.
Heinlein Hosting GmbH (mailbox.org)	Datenschutzerklärung von mailbox.org – ausdrücklich „kein KI-Training, kein Profiling“; mailbox.org schreibt in seiner Kommunikation regelmäßig: „Wir trainieren keine KI mit Ihren Daten“.
Visma Dinero ApS	Datenschutz- und KI-Richtlinie der Visma-Gruppe – Umfang Buchhaltungsanbindung; kein Training mit personenbezogenen Kundendaten, die über die Anbindung laufen. Der Buchhaltungspfad von fremverk erhält den rechtlichen Namen der Organisation, die E-Mail-Adresse des Rechnungskontakts, die USt-IdNr., die Rechnungspositionen und die Mollie-Zahlungs-ID (personenbezogene Kundendaten des Admins der Organisation); keine Repository-Inhalte, keine Inhalte des Audit-Logs, keine PAN.
Actalis S.p.A.	eIDAS-QTSP – erhält bei der ACME-DNS-01-Ausstellung nur Domainnamen; der Umfang einer CA schließt jede Nutzung abgeleiteter Inhalte aus.
VIES-Dienst der EU-Kommission	Abfrage bei einer öffentlichen Stelle; für KI-Training nicht relevant (kein Machine Learning für Verbraucher, das mit Verkehr zum USt-Register trainiert wird).
Simply.com A/S	Nur Registrar / DNS für Weiterleitungsdomains; kein Pfad für personenbezogene Kundendaten.

Ändert ein Unterauftragsverarbeiter seine Position zum KI-Training, ist fremverk nach AVV §6 (Unterauftragsverarbeiter) verpflichtet, Kunden vorab zu informieren und ihnen ein Widerspruchsrecht einzuräumen, bevor die neue Verarbeitung beginnt. Das Änderungsprotokoll unten auf dieser Seite hält jeden solchen Wechsel fest.

Fußnote zu den Kartennetzwerken #

Kartenzahlungen über Mollie laufen technisch über nach PCI-DSS attestierte Kartennetzwerke als weitere Unterauftragsverarbeiter: Visa Europe Services Inc. (Niederlassung UK) und Mastercard Europe SA (Belgien). Beides sind EU-Gesellschaften, ihre obersten Muttergesellschaften (Visa Inc., Mastercard Inc.) sind jedoch in den USA eingetragen. fremverk schließt mit diesen Netzwerken keine eigenen Verträge – sie sind nach den Netzwerkregeln von PCI-DSS weitere Unterauftragsverarbeiter von Mollie. Die Aussage „keine US-Muttergesellschaft“ oben bezieht sich auf die eigenen Unterauftragsverarbeiter von fremverk auf Ebene der Betreibergesellschaft. Wer auf dem Zahlungspfad keinerlei Berührung mit US-Muttergesellschaften möchte, kann per SEPA-Lastschrift zahlen (am SEPA-Pfad von Mollie ist kein Kartennetzwerk beteiligt). Die vollständige Einordnung steht in AVV §11.3.

Alternativen auf Kundenwunsch #

Die Standardbesetzung der Unterauftragsverarbeiter hat bereits keinerlei Berührung mit US-Muttergesellschaften. Im Rahmen von Enterprise-on-Demand können Kunden zusätzlich Folgendes anfragen:

Prüfung von Präferenzen für die Festlegung auf bestimmte Regionen von T Cloud Public (eu-de ist Standard; andere EU-Regionen auf Anfrage, sofern der Funktionsumfang gleich ist).
Zusagen zur regionalen Datenresidenz, die über den Standard hinausgehen (z. B. vertragliche Festlegung auf eine einzelne Availability Zone in eu-de).

Für den Umfang wende dich an enterprise@frem.sh.

Bisherige Änderungen #

Dieser Abschnitt hält die Änderungsgeschichte der Liste der Unterauftragsverarbeiter in umgekehrter zeitlicher Reihenfolge fest. Die Liste oben zeigt immer den aktuellen Stand.

Datum	Änderung	Mitteilung veröffentlicht
2026-10-04	Der Zweck von Bunny CDN führt WAF nicht mehr auf: Seit dem 2026-05-09 ist auf keinem fremforge-Bereich am Edge eine Web Application Firewall aktiviert (AVV Anhang A.2). Kein Unterauftragsverarbeiter, kein Verarbeitungszweck und keine Datenkategorie ändert sich; die Beschreibung entspricht jetzt dem, was Bunny tut.	Nicht erforderlich (Korrektur, keine Änderung der Verarbeitung)
2026-05-14	Ausgehende Transaktions-E-Mails von Sendinblue SAS (Brevo, FR) zu Lettermint B.V. (Zwolle, NL) migriert. Brevo am 2026-05-14 abgeschaltet. Der Pfad für ausgehende E-Mails bleibt rein in der EU, ohne Auftragsverarbeiter mit US-Muttergesellschaft; die Zeile zu den KI-Trainingsverboten wurde entsprechend neu gefasst. Entspricht AVV v1.9.	Entfällt (keine Kunden unter Vertrag; vor dem Start)
2026-05-08	Transparenzrunde 7: Actalis S.p.A. (CA für Origin-TLS, IT, eIDAS-QTSP), der VIES-Dienst der EU (Prüfung der USt-IdNr.) und Simply.com A/S (DK, DNS für Weiterleitungsdomains der Marke) in einem neuen Abschnitt „Zur Transparenz offengelegt – keine Unterauftragsverarbeiter nach Artikel 28“ ergänzt. Keiner erhält personenbezogene Kundendaten; nach AVV §A.4 aus Anhang B ausgenommen.	Entfällt (keine Kunden unter Vertrag; vor dem Start)
2026-05-06	Visma Dinero ApS (Dänemark) als Unterauftragsverarbeiter im Abrechnungspfad in Anhang B aufgenommen. Umfang der personenbezogenen Kundendaten: rechtlicher Name der Organisation, Rechnungskontakt, USt-IdNr., Rechnungspositionen, Mollie-Zahlungs-ID. Gesetzliche Aufbewahrung über 5 Jahre nach dem dänischen Bogføringsloven §10. Entspricht AVV v1.4 (überarbeitet in v1.5 – die frühere Formulierung „kein Pfad für personenbezogene Kundendaten“ war falsch).	Entfällt (keine Kunden unter Vertrag; vor dem Start)
2026-04-27	Hosting der eingehenden gemeinsamen Postfächer von Microsoft Ireland Operations Ltd. zu Heinlein Hosting GmbH (mailbox.org), Berlin, Deutschland, verlegt – damit entfällt der bisherige Unterauftragsverarbeiter mit US-Muttergesellschaft auf dem Pfad der eingehenden Postfächer	Entfällt (keine Kunden unter Vertrag; vor dem Start)
2026-04-25	Erstes Verzeichnis	Gültigkeitsdatum

Kontakt #

Bei Fragen zu Unterauftragsverarbeitern:

Datenschutz / Umfang des AVV: compliance@frem.sh
Einkauf / Lieferantenprüfung: enterprise@frem.sh
Abonnement der Security-Mailingliste: lists.frem.sh/subscription/form (Alias: security-notices@frem.sh – leitet an compliance@ weiter)

Siehe auch: Trust Center · Datenschutzerklärung