Anbieter- und Unterauftragsverarbeiterregister – GardenPilot
Version: provider-register-2026-10-v7
Stand: 14.09.2026; Ergänzungen zu Instagram-Kommentaren 12.10.2026 und zu Instagram-Direktnachrichten 13.10.2026
Dieses Register muss mit dem tatsächlichen produktiven Datenfluss synchron gehalten werden.
A. Auftragsverarbeiter / technische Dienstleister
Zu den Angaben „bezahlte Stufe" bei Anthropic, OpenAI und Google: Sie beruhen auf der Erklärung des Betreibers zum eigenen Vertragsverhältnis (03.09.2026) und werden durch die eigene gemessene produktive Nutzung gestützt. Frisch nachgemessen für den Zeitraum 31.08.–14.09.2026: 1713 Aufrufe (Anthropic), 1130 (OpenAI), 3497 (Google) — darunter keine einzige Kontingent- oder Abrechnungsabweisung. Die intern geführte Kostenspalte ist kein Beleg für die Stufe: sie wird aus unserer eigenen Preistabelle berechnet und stünde auch auf einer kostenlosen Stufe über null. Ein unmittelbarer Nachweis wäre allein die Abrechnungsübersicht des jeweiligen Anbieters.
Zu den Instagram-Agenten: Kommentare unter unseren Instagram-Beiträgen und Direktnachrichten an unser Instagram-Profil werden über eine Ausweichkette aus Modellen von Google, OpenAI und Anthropic bearbeitet. Geführt werden hier die Anbieter, nicht die einzelnen Modelle; ein Modellwechsel innerhalb dieser Anbieter ändert die Empfänger nicht.
Cloudflare
Zwecke: Hosting/Auslieferung, CDN, Worker, Sicherheits- und Bot-Schutz sowie Cloudflare Turnstile im unsichtbaren Modus zum Schutz des Support-Chats auf der Kontaktseite
Daten: IP-/Requestdaten, technische Browser-/Gerätedaten, funktionsabhängige technische Inhalte
Rolle: Auftragsverarbeiter, soweit Cloudflare im Auftrag verarbeitet; einzelne eigene Sicherheits-/Compliance-Verarbeitungen können abweichend einzuordnen sein
Region: globales Netzwerk
Drittland: Angemessenheitsbeschluss und/oder Standardvertragsklauseln nach verifizierten Vertragsunterlagen, soweit erforderlich
Supabase
Zwecke: Datenbank, Authentifizierung, Dateispeicherung, Backend-Dienste
Daten: Konto-, Projekt-, Datei-, Authentifizierungs- und technische Daten
Rolle: Auftragsverarbeiter
Region: produktive Projektregion Frankfurt (Deutschland); ergänzende Support-/Subprozessor-Verarbeitung nach den anwendbaren Vertragsunterlagen
Drittland: nach verifiziertem DPA
Amazon Web Services (AWS)
Zwecke: Cloud-Infrastruktur, Lambda-/Bildverarbeitung, technische Speicherung
Daten: Kundenfotos, erzeugte Bilder, technische Payloads und erforderliche Projektdaten
Rolle: Auftragsverarbeiter
Region: produktiver GardenPilot-Workload derzeit Stockholm (Schweden), soweit der jeweilige AWS-Dienst regional gebunden ist
Drittland: nach AWS-DPA und anwendbaren Transfermechanismen
Anthropic
Zwecke: KI-Text-, Chat- und Vision-Funktionen; Einordnung von und Antwortentwürfe zu Kommentaren Dritter unter unseren Instagram-Beiträgen und zu Direktnachrichten an unser Instagram-Profil (Stufe der Ausweichkette der Instagram-Agenten)
Daten: erforderliche Texte/Prompts/Projektinformationen, gegebenenfalls Kundenfotos; Kommentare Dritter unter unseren Instagram-Beiträgen und Direktnachrichten Dritter an unser Instagram-Profil (Text und erforderlicher Gesprächsverlauf, ohne Benutzername und Nutzerkennung und ohne Anhänge; @-Erwähnungen, E-Mail-Adressen und Telefonnummern vorab ersetzt) sowie Inhalte des betreffenden Beitrags
Rolle: Auftragsverarbeiter im eingesetzten Business/API-Dienst
Drittland: nach dokumentiertem Art.-44-ff.-DSGVO-Mechanismus
Training/Retention: Der produktiv genutzte Zugang ist eine bezahlte API-Stufe (keine kostenlose Stufe); es gelten die für diese Stufe vereinbarten Bedingungen zu Training und Aufbewahrung. Herkunft der Stufenangabe siehe Hinweis am Anfang dieses Abschnitts.
OpenAI
Zwecke: strukturierte KI-Ausgaben, Konzept-/Planungstexte, Text-Einbettungen für das Agenten-Gedächtnis sowie Bilderzeugung im Social-Media-Weg; Einordnung von und Antwortentwürfe zu Kommentaren Dritter unter unseren Instagram-Beiträgen und zu Direktnachrichten an unser Instagram-Profil (Stufe der Ausweichkette der Instagram-Agenten)
Daten: erforderliche Eingaben und Projektdaten; bei bildbezogenen Funktionen gegebenenfalls eine signierte GardenPilot-URL, über die OpenAI das erforderliche Kundenbild abruft; je nach URL-Struktur können technische Projekt-/Nutzerkennungen Bestandteil des Pfads sein; Kommentare Dritter unter unseren Instagram-Beiträgen und Direktnachrichten Dritter an unser Instagram-Profil (Text und erforderlicher Gesprächsverlauf, ohne Benutzername und Nutzerkennung und ohne Anhänge; @-Erwähnungen, E-Mail-Adressen und Telefonnummern vorab ersetzt) sowie Inhalte des betreffenden Beitrags
Rolle: Auftragsverarbeiter im eingesetzten Business/API-Dienst
Bilderzeugung (gemessen 14.09.2026): Die Bildaufträge laufen über unsere AWS-Lambda an die OpenAI-Bild-API; produktiv eingesetzt wurde im Messzeitraum ein OpenAI-Bildmodell (2 Läufe am 11.09.2026 im Social-Media-Weg). Zwei weitere OpenAI-Bildmodelle stehen als Ausweichstufen scharf konfiguriert bereit und wurden im Messzeitraum nicht gezogen.
Drittland: nach verifizierten Vertrags-/Transferbedingungen
Training/Retention: Der produktiv genutzte Zugang ist eine bezahlte API-Stufe (keine kostenlose Stufe); es gelten die für diese Stufe vereinbarten Bedingungen zu Training und Aufbewahrung. Herkunft der Stufenangabe siehe Hinweis am Anfang dieses Abschnitts.
Google / Gemini API (AI Studio)
Zwecke: KI-Text-, Vision-, Bild- und Planungsfunktionen; Bilderzeugung ist der mengenmäßig größte Bildweg (gemessen 31.08.–14.09.2026: 740 Bildläufe über Gemini-Bildmodelle, gegenüber 2 über OpenAI); Einordnung von und Antwortentwürfe zu Kommentaren Dritter unter unseren Instagram-Beiträgen und zu Direktnachrichten an unser Instagram-Profil (Stufe der Ausweichkette der Instagram-Agenten)
Daten: erforderliche Prompts/Projektinformationen, gegebenenfalls Kundenfotos; Kommentare Dritter unter unseren Instagram-Beiträgen und Direktnachrichten Dritter an unser Instagram-Profil (Text und erforderlicher Gesprächsverlauf, ohne Benutzername und Nutzerkennung und ohne Anhänge; @-Erwähnungen, E-Mail-Adressen und Telefonnummern vorab ersetzt) sowie Inhalte des betreffenden Beitrags
Rolle: nach den für den produktiven Gemini-API-Zugang geltenden Bedingungen; die produktive Integration verwendet derzeit Gemini API / AI Studio und nicht Vertex AI
Drittland: nach verifizierten Google-Datenverarbeitungs-/Transferbedingungen
Training/Retention: Der produktiv genutzte Gemini-API-Zugang ist eine bezahlte Stufe (keine kostenlose Stufe); es gelten die für diese Stufe vereinbarten Bedingungen zu Training und Aufbewahrung. Herkunft der Stufenangabe siehe Hinweis am Anfang dieses Abschnitts.
Resend
Zwecke: Versand transaktionaler und zulässiger Marketing-E-Mails
Daten: E-Mail-Adresse, E-Mail-Inhalt, Zustellinformationen
Rolle: Auftragsverarbeiter
Drittland: DPA/anwendbarer Transfermechanismus
Svix (Unterauftragsverarbeiter von Resend)
Zwecke: Zustellung der Resend-Ereignismeldungen (Webhooks) an GardenPilot
Daten: E-Mail-Adresse des Empfängers je Zustellereignis, Ereignisart (zugestellt, geöffnet, abgelehnt), Zeitstempel
Rolle: Unterauftragsverarbeiter von Resend, nicht eigener Auftragsverarbeiter von GardenPilot. GardenPilot unterhält kein eigenes Vertragsverhältnis zu Svix; die Einbindung ergibt sich aus dem Vertrag mit Resend und dessen Unterauftragsverarbeiter-Liste.
Richtung der Übermittlung: GardenPilot übermittelt keine Daten an Svix. Svix stellt Ereignismeldungen von Resend an GardenPilot zu; die Empfängeradresse ist Bestandteil dieser Meldung und läuft deshalb über Svix.
Drittland: über die Unterauftragsverarbeiter-Kette von Resend
B. Zahlungsdienst
Stripe
Zwecke: Zahlungsabwicklung, Betrugsprävention, Zahlungs-/Steuerpflichten
Daten: Kontakt-, Rechnungs-, Transaktions- und Zahlungsdaten
Rolle: je Verarbeitungsschritt Auftragsverarbeiter und/oder eigenständig Verantwortlicher für eigene gesetzliche/zahlungsbezogene Zwecke
Drittland: nach Stripe-Datenschutz-/Transferunterlagen
C. Marketinganbieter – nur nach erforderlicher Einwilligung
Google Ads
Zweck: Conversion-Messung und gegebenenfalls Remarketing
Daten: Browser-/Gerätedaten, IP, Seite/Referrer, Cookie-/Klickkennungen, Conversion-Ereignisse
Aktivierung: nur nach erforderlicher Einwilligung
Meta Pixel
Anbieter: Meta Platforms Ireland Limited
Zweck: Facebook-/Instagram-Conversion- und Reichweitenmessung
Daten: Browser-/Gerätedaten, IP, Seite/Referrer, _fbp, gegebenenfalls fbclid, Conversion-Ereignisse
Aktivierung: nur nach erforderlicher Einwilligung
Rolle: nach anwendbaren Meta-Business-Tools-/Joint-Controller-Bedingungen
Microsoft Advertising / Bing UET
Anbieter: Microsoft Ireland Operations Limited bzw. verbundene Gesellschaften
Zweck: Microsoft-/Bing-Conversion-Messung
Daten: Browser-/Gerätedaten, IP, Seite/Referrer, UET-Kennungen, gegebenenfalls msclkid, Conversion-Ereignisse
Aktivierung: nur nach erforderlicher Einwilligung
Rolle: nach anwendbaren Microsoft-Advertising-Bedingungen
D. Derzeit nicht als aktive Standard-Unterauftragsverarbeiter geführt
Replicate
Nicht als aktiver Standard-Kundendatenempfänger geführt, solange der isolierte CAD-Plan-Prototyp nicht Bestandteil des normalen produktiven Kundenpfads ist. Wird die Funktion für echte Kundendaten aktiviert, müssen DPA/Transferstatus, Datenschutzerklärung und dieses Register vorher aktualisiert werden.
Nachgemessen am 14.09.2026: 0 Aufrufe in den letzten 14 Tagen, letzter Aufruf der betreffenden Funktion am 18.08.2026; die beiden zugehörigen Nutzungszeilen sind als Test gekennzeichnet und tragen keinen Nutzerbezug. Der produktiv genutzte CAD-Weg ruft ausschließlich Google an. Der Zugangsschlüssel ist weiterhin hinterlegt — die Funktion ist also konfiguriert, aber unbenutzt.
n8n
Nicht als aktiver Unterauftragsverarbeiter geführt, solange kein echter produktiver Datenfluss an einen n8n-Dienst besteht. Historische Funktions-, Variablen- oder Dateinamen allein sind kein aktiver externer Datenfluss.
Nachgemessen am 14.09.2026: kein n8n-Aufruf im Laufzeitcode, und in sämtlichen Datenbankfunktionen führen die hinterlegten Adressen ausschließlich auf unsere eigene Supabase-Instanz und auf unsere eigene Domain. Verblieben sind Kommentare.
Google Search Console
Nicht als Auftragsverarbeiter für Kundendaten geführt. Über diesen Zugang werden ausschließlich aggregierte Suchstatistiken zu unseren eigenen Seiten abgerufen — die Anfrage enthält den Zeitraum, die gewünschte Auswertungsdimension und die eigene Website-Adresse, jedoch keine Kunden- oder Nutzerdaten. Es handelt sich um einen Abruf durch uns, nicht um eine Übermittlung an Google. Der Zugang ist technisch getrennt vom Gemini-API-Zugang und wird hier nur aufgeführt, damit „Google" im Register nicht zwei verschiedene Zugänge unter einem Namen verbirgt. Nachgemessen am 14.09.2026: letzter Abruf am 11.08.2026, im aktuellen Messzeitraum also gar keiner.
Meta / Instagram-Schnittstelle
Anbieter: Meta Platforms Ireland Limited Zwecke: Veröffentlichung und Messung eigener Inhalte im eigenen Instagram-Konto @gardenpilot.ai; Abruf von Kommentaren Dritter unter unseren eigenen Beiträgen und von Direktnachrichten an unser Konto; Veröffentlichung bzw. Versand unserer freigegebenen Antworten; Ausblenden und Löschen von Kommentaren auf Veranlassung eines Menschen Daten an Meta: Bildadressen, Bildunterschriften und Alternativtexte eigener Beiträge, Texte unserer Antworten auf Kommentare und Direktnachrichten, Moderationsbefehle Daten von Meta: Kennzahlen des eigenen Kontos; Kommentare Dritter unter unseren Beiträgen (Benutzername, Nutzerkennung, Kommentartext, Zeitpunkt, Beitragsbezug); Direktnachrichten an unser Konto (Benutzername, Nutzerkennung, Nachrichtentext, Zeitpunkt, Gesprächsbezug, Art eines Anhangs ohne dessen Inhalt) Rolle: kein Auftragsverarbeiter. Meta betreibt die Plattform in eigener Verantwortung; für Abruf, Speicherung und Bearbeitung der Kommentare und Direktnachrichten in unseren Systemen sind wir selbst verantwortlich (Datenschutzerklärung § 1 und § 18). Drittland: Vertragspartner ist Meta Platforms Ireland Limited (EU); eigene Verarbeitungen von Meta erfolgen nach Metas Bedingungen. Getrennt von: der Meta-Pixel-Einbindung (Abschnitt C).
Google Cloud Storage (fremder Speicherbereich)
Befund vom 14.09.2026, noch nicht behoben. Die Vorschaubild-Angaben der Anwendung (og:image, twitter:image) verweisen auf eine Datei in einem fremden Google-Speicherbereich, der noch aus der Entstehungszeit der Anwendung stammt. Abgerufen wird diese Datei von Diensten, die eine Vorschau erzeugen (Suchmaschinen, soziale Netzwerke, Messenger) — dabei wird deren Adresse gegenüber Google sichtbar. Ein Abruf durch angemeldete Nutzer beim normalen Besuch der Anwendung findet nicht statt. Der Verweis ist kein gewollter Datenfluss und soll durch eine eigene Datei ersetzt werden; bis dahin steht er hier, weil ein gemessener externer Abruf nicht unerwähnt bleiben darf.
E. Behördliche Empfänger – keine Auftragsverarbeitung
Europäische Kommission (VIES / TAXUD)
Zweck: gesetzlich gebotene Prüfung der Umsatzsteuer-Identifikationsnummer von Geschäftskunden
Übermittelte Daten: Ländercode und Umsatzsteuer-Identifikationsnummer. Bei Einzelunternehmern ist die Umsatzsteuer-Identifikationsnummer ein personenbezogenes Datum; deshalb steht dieser Empfänger im Register.
Gespeicherte Antwort: Gültigkeit, Erreichbarkeit, Ländercode, Abfragezeitpunkt und die abgefragte Nummer. Firmenname und Anschrift werden nicht gespeichert.
Rolle: Die Europäische Kommission wird als öffentliche Stelle eigenverantwortlich tätig. Sie ist kein Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag ist hierfür weder möglich noch erforderlich.
Drittland: nein, Verarbeitung innerhalb der EU