Liste der Unterauftragsverarbeiter (Subprozessoren) – öffentliche Fassung

Dokument: Öffentliche Subprozessor-Liste / Trust-Center-Übersicht
Version: 2.1
Stand: 26.08.2026
Anbieter / Auftragsverarbeiter: Flurin UG (haftungsbeschränkt), Freiburger Straße 25, 79853 Lenzkirch, Amtsgericht Freiburg HRB 736327, vertreten durch Geschäftsführer Jan Jerusalem
Datenschutzbeauftragter: heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, datenschutz@heydata.eu
Datenschutzkontakt: datenschutz@flurin.app
Geltungsbereich: Auftragsverarbeitung für Praxen mit Sitz in Deutschland
Vertragsbezug: AVV Version 2.1 / Anlage 3 und TOM Version 2.1, jeweils Stand 26.08.2026

---

1. Zweck und Rollenabgrenzung

Flurin verarbeitet Praxis- und Patientendaten im Rahmen der Plattform grundsätzlich als Auftragsverarbeiter der jeweiligen Praxis. Diese Liste nennt externe Anbieter, die bei dieser Auftragsverarbeitung als weitere Auftragsverarbeiter eingesetzt werden können.

Nicht jeder Dienstleister von Flurin ist deshalb ein Subprozessor der Praxis. Dienste für Flurins eigene Vertrags-, Zahlungs-, Marketing-, Analyse- oder reine Betriebszwecke werden in Abschnitt 3 getrennt dargestellt und gehören nur dann in die AV-Subprozessorliste, wenn sich ihr tatsächlicher Datenfluss zu einer Verarbeitung im Auftrag der Praxis ändert.

Ein als optional gekennzeichneter Anbieter wird für eine konkrete Praxis erst eingesetzt, wenn die zugehörige Funktion aktiviert ist und die erforderlichen technischen und datenschutzrechtlichen Voraussetzungen erfüllt sind.

---

2. Wesentliche Unterauftragsverarbeiter

Anbieter	Sitz / Kernregion	Leistung im Auftrag der Praxis	Typische Daten	Drittland-/Schutzhinweis
Hetzner Online GmbH	Deutschland	Backend/API, PostgreSQL, Infrastruktur, verschlüsselte DB-Backups auf Storage Box, privater S3-kompatibler Object Storage für Verordnungsbilder	Praxis-, Patienten- und Gesundheitsdaten, Verordnungsbilder, technische Metadaten, verschlüsselte Backups	Kernspeicherung der produktiven Patienten-/Gesundheitsdaten in Deutschland; AVV/TOM und Sicherheitsnachweise werden im internen Nachweisregister geführt
BunnyWay d.o.o. (bunny.net)	Slowenien / EU; globales CDN-/DNS-Netz	statische Frontend-Auslieferung, CDN, DNS	IP-/Request-/Browser-/DNS-Metadaten, Hostname/URL-Pfad; keine planmäßige Speicherung der Backend-Datenbank oder privaten Verordnungsobjekte	DPA und aktuelle Subprozessorliste des Anbieters; Routing kann je nach CDN/DNS-Konfiguration weitere Verarbeitungsorte einbeziehen
Hanko GmbH	Deutschland / EU	Identity Management und Authentifizierung für Praxisnutzer	E-Mail, Nutzer-/Login-/Authentifizierungsdaten und technische Login-Metadaten; keine planmäßigen Patientendaten	Hanko Cloud DPA; Hanko beschreibt die Verarbeitung von End-User-Authentifizierungsdaten als Processor/Subprocessor
Brevo (vertragliche Gesellschaft gemäß Flurin-Konto/DPA)	EU	transaktionale E-Mail und optional SMS	E-Mail-Adresse/Mobilnummer, Name/Praxisbezug, je nach kanalspezifischer Einwilligung neutrale Benachrichtigung oder organisatorische Terminangaben, Versand-/Zustell-/Fehlermetadaten; keine klinisch sensiblen Freitexte	DPA, Subprozessor- und Transferinformationen werden von Flurin dokumentiert
Meta Platforms Ireland Limited (optional: WhatsApp Business)	Irland / EU	neutrale WhatsApp-Business-Benachrichtigungen über die von der Praxis verbundene WhatsApp-Business-Infrastruktur	Mobilnummer, Praxisbezug, neutrales Template/Nachricht, Provider-/Zustellstatus	eigene WhatsApp-Einwilligung; DPA/Subprozessor-/Transferinformationen dokumentiert; keine Diagnose-, Verordnungs-, Terminzeit- oder Behandlungsdetails im WhatsApp-Text

2.1 Besondere Hinweise zu Verordnungsuploads

Verordnungsbilder werden nicht über Bunny.net oder einen öffentlichen CDN-Speicher bereitgestellt. Sie liegen privat im S3-kompatiblen Hetzner Object Storage und sind nur über autorisierte/zeitlich begrenzte Flurin-Zugriffspfade erreichbar. Angenommene Bilddateien werden nach der aktuellen technischen Policy spätestens nach 60 Tagen physisch aus dem Object Storage gelöscht.

2.2 Besondere Hinweise zu WhatsApp

WhatsApp Business ist ein optionaler Kanal und wird nur bei aktivierter Praxisverbindung und dokumentierter WhatsApp-Einwilligung eingesetzt. Flurin verwendet WhatsApp stets neutral-only: konkrete Terminzeitpunkte, Diagnosen, Verordnungen, Behandlungs- oder Dokumentinhalte verbleiben hinter geschützten Flurin-Links.

3. Weitere Flurin-Dienstleister außerhalb der Praxis-Subprozessorliste

Die folgenden Dienste sind nach der aktuellen Zweckbestimmung keine Unterauftragsverarbeiter für Patientendaten der Praxis. Sie werden hier zur transparenten Rollenabgrenzung genannt:

Dienst / Anbieter	Zweck	Aktuelle Einordnung
Stripe	Zahlungs-, Rechnungs- und Subscription-Abwicklung für die Vertragsbeziehung Flurin ↔ Praxis	eigener Verantwortungsbereich von Flurin; keine bestimmungsgemäßen Patientendaten
Google BigQuery	Flurins eigene serverseitige Praxis-Signup-/Kampagnenattribution	eigener Verantwortungsbereich; keine bestimmungsgemäßen Patientendaten; Raw-Retention max. 14 Monate
Telegram	minimierte interne Betriebs-/Signup-Benachrichtigungen	eigener Flurin-Betriebszweck; keine Patientennachrichten/Gesundheitsdaten vorgesehen
United-Domains	Domainregistrierung/-verwaltung	Flurin-Unternehmens-/Domainverwaltung; keine Patientendaten im Auftrag
GitHub	Quellcode, CI, technische/administrative Entwicklung	keine bestimmungsgemäße Ablage produktiver Patientendaten
Euronodes	unabhängige externe Uptime-/Endpoint-Prüfung	Verfügbarkeits-/Statusmetadaten; kein Patientendatenzugriff vorgesehen
Grafana, Loki, Alloy, Uptime Kuma	Monitoring/Logging	self-hosted auf Hetzner; deshalb kein zusätzlicher externer Subprozessor neben Hetzner

Ändert sich ein Datenfluss so, dass einer dieser Dienste künftig personenbezogene Daten im Auftrag der Praxis verarbeitet, wird er vor Aktivierung gemäß AVV geprüft und diese Liste versioniert aktualisiert.

---

4. Weitere Anbieteränderungen

Weitere Speicher-, Analyse-, KI- oder Kommunikationsanbieter werden erst dann als Unterauftragsverarbeiter geführt, wenn sie tatsächlich personenbezogene Daten im Auftrag einer Praxis verarbeiten. Vor einer solchen Aktivierung werden die erforderlichen DPA-/Subprozessor-/Transfer- und Sicherheitsnachweise geprüft und diese Liste bei Bedarf aktualisiert.

5. Änderungs- und Widerspruchsverfahren

Flurin nutzt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO gemäß AVV § 9. Beabsichtigte Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern werden mit angemessenem Vorlauf mitgeteilt, soweit keine dringenden Sicherheits-/Betriebsgründe eine kurzfristigere Änderung erfordern.

Die Praxis kann innerhalb von 14 Kalendertagen aus nachvollziehbarem datenschutzrechtlichem Grund widersprechen. Flurin prüft dann, ob eine zumutbare technische/organisatorische Alternative möglich ist. Details und Rechtsfolgen richten sich nach dem wirksam vereinbarten AVV.

Datenschutzbezogene Rückfragen: datenschutz@flurin.app.

---

6. Nachweisführung

Flurin führt intern je aktivem Provider insbesondere – soweit einschlägig – folgende Nachweise:

• AVV/DPA bzw. einschlägige Data Processing Terms,
• TOM/Sicherheitsinformationen,
• Subprozessorliste,
• Datenstandort/-region,
• Drittland-/Transfermechanismen,
• Aufbewahrungs-/Löschinformationen,
• dokumentierte Produkt-/Providerfreigabe.

Die öffentliche Liste ersetzt diese internen Nachweise nicht.

---

7. Versionierung

Diese Fassung ist Version 2.1, Stand 26.08.2026. Änderungen an Unterauftragsverarbeitern werden nach dem im AVV vereinbarten Verfahren mitgeteilt und in dieser Liste nachvollziehbar aktualisiert.