social by karbach.digital ist von Grund auf für den europäischen Rechtsrahmen konzipiert. Diese Seite erklärt die Grundzüge — die vollständige, rechtsverbindliche Datenschutzerklärung findest du in der App.
Infrastruktur & Serverstandorte
Anwendungsserver
Netcup GmbH
Nürnberg, Deutschland. ISO 27001-zertifiziert. Kein US-Konzern, kein CLOUD Act. DPA nach Art. 28 DSGVO abgeschlossen.
KI-Verarbeitung
Mistral SAS
Paris, Frankreich (EU). Mistral ist ein europäisches Unternehmen. Alle KI-Anfragen verbleiben in Frankreich. DPA nach Art. 28 DSGVO abgeschlossen.
Posting & Inbox
ZERNIO SOFTWARE SL
Carrer Mallorca 2A, 17230 Palamós, Girona, Spanien (EU). Verwaltet die OAuth-Verbindungen zu den Plattformen, stellt Beiträge zu und sammelt eingehende Kommentare und Nachrichten ein. Für den eigenen Betrieb setzt Zernio Dienstleister außerhalb der EU ein (u. a. Cloudflare, Vercel, Google Cloud). Abgesichert über einen AVV nach Art. 28 DSGVO mit EU-Standardvertragsklauseln.
E-Mail-Versand
Lettermint B.V.
Niederlande, EU. DPA verfügbar unter lettermint.co/dpa. Transaktionale E-Mails (Magic-Links, Benachrichtigungen).
Zahlungsabwicklung
Mollie B.V.
Amsterdam, Niederlande, EU. PCI-DSS Level 1. Karbach Digital speichert keine Zahlungsdaten; Abwicklung vollständig bei Mollie.
DNS
IONOS SE
Montabaur, Deutschland. Autoritative Nameserver für social.karbach.digital. Verarbeitet IP-Adressen in den Resolver-Logs. AVV nach Art. 28 DSGVO abgeschlossen.
Backup-Speicher
Hetzner Online GmbH
Gunzenhausen, Deutschland; Speicherorte Falkenstein und Nürnberg. Ziel der verschlüsselten Backups von Datenbank und Medien. AVV nach Art. 28 DSGVO abgeschlossen.
Auftragsverarbeitungsvertrag (AVV)
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO steht jedem Tarif kostenlos zu — auf Anfrage direkt in den Kontoeinstellungen oder per Mail. In den Tarifen Studio und Civic wird er zusätzlich automatisch beim Vertragsabschluss zugeschickt.
Der AVV regelt insbesondere:
Gegenstand und Dauer der Verarbeitung
Art und Zweck der Verarbeitung
Art der personenbezogenen Daten und Kategorien von betroffenen Personen
Technische und organisatorische Maßnahmen (TOMs)
Weisungsbefugnis des Verantwortlichen
Unterauftragsverarbeiter (vollständige Liste)
Berichtigungspflichten bei Datenschutzverletzungen
Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet US-amerikanische Unternehmen, auf Anfrage von US-Behörden Daten herauszugeben, auch wenn diese auf Servern in der EU liegen.
Betroffen sind: alle Tools mit US-Mutterkonzern oder mit Hosting bei Google Cloud, Microsoft Azure oder AWS. Das trifft auf einen Großteil der internationalen Social-Media-Management-Anbieter zu.
Die Kerninfrastruktur von social by karbach.digital läuft über Netcup (deutsches Unternehmen, kein US CLOUD Act) für den Anwendungsserver und Mistral SAS (französisches Unternehmen, kein US CLOUD Act) für die KI-Verarbeitung — beide ohne US-Mutterkonzern.
Kirchlicher Datenschutz (DSG-EKD / KDO)
Evangelische und katholische Kirchengemeinden unterliegen neben der DSGVO einem eigenen kirchlichen Datenschutzrecht (DSG-EKD für evangelische, KDO für katholische Einrichtungen). social by karbach.digital ist mit beiden Regelwerken kompatibel:
AVV nach Art. 28 DSGVO, kostenlos in jedem Tarif
Vollständige Sub-Auftragsverarbeiter-Liste, offen auf dieser Seite und als Grundlage des AVV
Anwendungsserver in Nürnberg, KI-Verarbeitung in Paris, beide ohne US-Mutterkonzern
Dokumentiertes Löschkonzept, Datenexport und Löschung jederzeit möglich
Das sind die Unterlagen, die Ihr kirchlicher Datenschutzbeauftragter für seine Prüfung braucht. Ob damit die Anforderungen des DSG-EKD oder der KDO in Ihrem konkreten Fall erfüllt sind, entscheidet er, nicht wir. Wir liefern die Grundlage und beantworten Rückfragen direkt.
Fragen zum Datenschutz? Wir antworten direkt, kein Ticket-System.