Liste der Unterauftragsverarbeiter
Anlage 2 zum Auftragsverarbeitungsvertrag (AVV) Version: 2.2 Stand: August 2026 Verantwortlicher für diese Liste: S&C Holding GmbH, Halbgasse 1a, 1070 Wien (FN 366123t)
Diese Liste ist integraler Bestandteil jedes mit HireSift-Kunden geschlossenen Auftragsverarbeitungsvertrags. Der Kunde stimmt mit Abschluss des AVV der Einbindung der hier genannten Unterauftragsverarbeiter ausdrücklich zu.
Unterauftragsverarbeiter für Bewerberdaten
Die folgenden Unterauftragsverarbeiter verarbeiten personenbezogene Daten von Bewerbern (Lebensläufe, extrahierte Profile, Matching-Scores, E-Mail-Inhalte). Die Kernplattform und KI-Verarbeitung laufen in der EU. Der E-Mail-Dienst Resend verarbeitet im Rahmen der Zustellung auch Daten in den USA; die Transfergrundlagen sind unten ausgewiesen.
| # | Anbieter | Vertragsentität | Verarbeitungsort | Zweck |
|---|---|---|---|---|
| 1 | Supabase | Supabase Inc. (über AWS EMEA SARL) | EU — Frankfurt am Main, Deutschland (AWS eu-central-1) |
Datenbank und Datei-Storage für alle Business-Daten inklusive Bewerber-Lebensläufe |
| 2 | Vercel | Vercel Germany GmbH | EU — Frankfurt am Main, Deutschland (Region fra1) |
Hosting der Web-Anwendung, Serverless Functions, API-Routen |
| 3 | Vertex AI | Google Ireland Limited | EU — Saint-Ghislain, Belgien (Region europe-west4) |
KI-gestützte Analyse und Bewertung von Lebensläufen durch Large Language Models |
| 4 | Resend | Plus Five Five, Inc. | Routing über EU — Irland (eu-west-1); primäre Account-, Metadaten-, Log- und API-Verarbeitung in den USA |
Empfang eingehender Bewerbungs-E-Mails inklusive Inhalte und Anhänge sowie Versand transaktionaler E-Mails |
Rechtsgrundlage für die Datenübermittlung an Resend: DPA gemäß Art. 28 DSGVO, EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO.
Unterauftragsverarbeiter für Nutzerverwaltung und Betrieb
Die folgenden Unterauftragsverarbeiter verarbeiten keine Bewerberdaten, sondern ausschließlich Daten der Kunden-Mitarbeiter (Recruiter-Accounts) oder Zahlungsdaten.
| # | Anbieter | Vertragsentität | Verarbeitungsort | Zweck |
|---|---|---|---|---|
| 5 | Mixpanel | Mixpanel Inc. | EU — Frankfurt am Main, Deutschland (eu.mixpanel.com) |
Produkt-Analytics: Recruiter-Nutzungsverhalten, Feature-Events. Keine Bewerberdaten. Nur mit Consent des Recruiters aktiv. |
| 6 | Stripe | Stripe Technology Company, Ltd. | EU — Dublin, Irland (primärer Verarbeitungsort) | Zahlungsabwicklung, Subscription-Management. Keine Bewerberdaten. |
| 7 | Clerk, Inc. | Clerk, Inc. | USA (DPF-zertifiziert) | Authentifizierung der Recruiter-Accounts (E-Mail, Name, Passwort-Hash, Sessions). Keine Bewerberdaten. |
Rechtsgrundlage für die Datenübermittlung an Clerk (USA):
- Clerk Inc. ist unter dem EU-US Data Privacy Framework (DPF)
zertifiziert. Die EU-Kommission hat mit Angemessenheitsbeschluss vom
- Juli 2023 festgestellt, dass DPF-zertifizierte US-Unternehmen ein mit der DSGVO vergleichbares Datenschutzniveau gewährleisten.
- Zusätzlich wurden mit Clerk Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO als ergänzende Absicherung vereinbart.
- Es wurde vertraglich bestätigt, dass Clerk keine Bewerberdaten (Lebensläufe, Profile, Scores, Bewerbungs-E-Mails) verarbeitet. Die Verarbeitung beschränkt sich auf Recruiter-Authentifizierung (Login-Daten, Sessions, Organisations-Metadaten).
Datenspeicherort-Übersicht
BEWERBERDATEN (CVs, Profile, Scores, E-Mail-Inhalte):
🇩🇪 Frankfurt am Main ——— Supabase (AWS eu-central-1), Vercel (fra1)
🇧🇪 Saint-Ghislain ——— Vertex AI (europe-west4)
🇮🇪 Irland ——— Resend E-Mail-Routing (eu-west-1)
🇺🇸 USA ——— Resend Account-, Metadaten-, Log- und API-Verarbeitung
RECRUITER-AUTH + ZAHLUNGEN:
🇩🇪 Frankfurt ——— Mixpanel (eu.mixpanel.com)
🇮🇪 Dublin ——— Stripe Technology Company Ltd.
🇺🇸 USA (DPF+SCC) ——— Clerk Inc. (nur Recruiter-Accounts)
Die dauerhafte Speicherung der Lebensläufe, Profile und Scores erfolgt in Frankfurt. Bewerbungs-E-Mails und Anhänge werden für Empfang und Zustellung über Resend verarbeitet; dabei können personenbezogene Daten in die USA übermittelt werden. Clerk verarbeitet weiterhin ausschließlich Authentifizierungsdaten der Kunden-Recruiter.
Ankündigung neuer Unterauftragsverarbeiter
HireSift wird Kunden jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus per E-Mail an die vom Kunden benannte Datenschutzadresse mitteilen. Der Kunde hat das Recht, der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen schriftlich zu widersprechen.
Geplante Änderungen
Die folgende Änderung ist derzeit in Planung:
- Evaluierung einer Migration der Authentifizierung von Clerk (USA) zu Supabase Auth (EU Frankfurt). Wird ausgelöst bei strengeren Enterprise-Anforderungen oder wenn das Data Privacy Framework rechtlich infrage gestellt wird. Diese Migration würde den Drittlandtransfer für Recruiter-Authentifizierung entfernen; die separat dokumentierte Resend-Verarbeitung für E-Mails bliebe bestehen.
Kontakt
Fragen zu dieser Liste oder zum AVV: hello@hiresift.ai
Änderungshistorie:
| Version | Datum | Änderung |
|---|---|---|
| 1.0 | April 2026 | Initiale Fassung mit Resend als Mail-Sub-Prozessor |
| 2.0 | April 2026 | Mailgun EU ersetzt Resend für alle Inbound- und Outbound-Mails. Bewerberdaten verlassen den EU-Datenraum nicht mehr. |
| 2.1 | August 2026 | Geplante Resend-Migration für Inbound-E-Mails mit Drittstaaten- und Kundeninformations-Gate dokumentiert. Noch nicht aktiviert. |
| 2.2 | August 2026 | Resend für eingehende und ausgehende E-Mails aktiviert; Drittlandtransfer und Schutzmechanismen transparent dokumentiert. |