Subprozessoren
Stand: 20. Oktober 2026 · Version 1.1
Diese Liste dokumentiert die von Montrel eingesetzten oder für einen konkreten Dienst vorgesehenen Subprozessoren, soweit sie Personendaten im Auftrag des Kunden bearbeiten. Die Liste ist Montrel-weit aufgebaut. Die konkrete Zuordnung zu einzelnen SaaS-Diensten wird bei Bedarf ergänzt.
Stand: 20. Oktober 2026 · Version: 1.1
Montrel setzt für die primäre Infrastruktur auf die Schweiz und Europa. Bei einzelnen Drittanbietern können weitere Auftragsbearbeiter oder technische Verarbeitungen hinzukommen. Die jeweils aktuellen Angaben sind in dieser Liste bzw. in den Datenschutzinformationen der Anbieter dokumentiert. Der primäre Datenstandort eines Dienstes ist nicht gleichbedeutend mit der Aussage, dass sämtliche Verarbeitungsvorgänge eines Anbieters oder seiner Subprozessoren ausschliesslich an diesem Standort stattfinden.
Ergänzend: Datenschutzerklärung · AVV · TOMs
Aktuelle Liste
Anbieter | Dienst | Zweck | Primärer Standort | Datenkategorie / Hinweis |
|---|---|---|---|---|
Supabase | Backend (PostgreSQL, Authentication, Storage, Realtime) | Betrieb der Anwendungsdaten | Zürich, Schweiz | Kunden-/Anwendungsdaten je nach Dienst. Die gewählte Projektregion bestimmt die primäre Datenregion. Weitere Verarbeitungen durch Subprozessoren von Supabase können hinzukommen. |
netcup / Coolify | VPS-/Hosting-Infrastruktur | Frontend- und Applikationshosting | Nürnberg, Deutschland | Technische und produktive Anwendungsdaten je nach Dienst |
Contabo | Object Storage / VPS | Verschlüsselte Backups; Hosting von Umami (anonymisierte/aggregierte Webstatistik, soweit eingesetzt) | Frankreich (Lauterbourg, Region eu2) | Backup- und Statistikdaten je nach Einsatz |
Resend (Plus Five Five, Inc.) | Transaktionaler E-Mail-Versand | Kontaktformular, KI-Check und Website-Benachrichtigungen auf montrel.org | USA (Versand aus Irland, eu-west-1) | Formulardaten des Kontaktformulars (Name, E-Mail, Gemeinde/Organisation, optional Telefon und Nachricht) und Versandmetadaten. Beim KI-Check zwei E-Mails: an die angegebene Adresse die Einordnung mit Empfehlungen; an Montrel Name, Gemeinde, E-Mail-Adresse, die berechnete Stufe, das Thema aus Frage 12 und der Hinweis, ob Datenthemen betroffen sind. Die einzelnen Antworten werden nicht versendet. Übermittlung: EU-Standardvertragsklauseln (Auftragsbearbeitungsvertrag Resend). |
Infomaniak Network SA | E-Mail-Postfach | E-Mail-Postfach | Schweiz | Empfang der Formularnachrichten. Speicherung in eigenen Rechenzentren von Infomaniak in der Schweiz. Sitz in Genf. |
Notion Labs Inc. | Notion | CRM, Kontaktdaten und Vertriebsnotizen aus Anfragen | USA | CRM- und Kontaktdaten sowie Notizen aus Anfragen, in einem kostenlosen Workspace. Übermittlung in die USA nach dem Eintrag von Notion Labs, Inc. im EU-U.S. und Swiss-U.S. Data Privacy Framework. Status am 20. Oktober 2026: «Active – Re-certification under Review». Teilnehmer 6134. |
Sweego | Transaktionaler E-Mail-Versand | System- und Bestätigungsmails (SaaS-/Produktdienste, soweit eingesetzt) | Frankreich / EU | Versanddaten (E-Mail-Adresse, Name soweit erforderlich, Nachrichteninhalt) |
Hostinger | DNS | Domain- und DNS-Betrieb | DNS (weltweite Infrastruktur möglich) | Technische DNS-/Netzwerkdaten. Keine pauschale Zusicherung einer ausschliesslichen CH-/EU-Verarbeitung. |
AbaNinja / DeepCloud | Rechnungsstellung / Buchhaltung | Abrechnung | Schweiz (Anbieter); Subprozessoren können weitere Standorte umfassen | Nur erforderliche Rechnungs- und Zahlungsdaten (Firma/Name, Rechnungsadresse, E-Mail, Leistung, Betrag, MWST-, Rechnungs-/Zahlungsdaten) |
Nicht als Subprozessor für produktive Kundendaten
- Umami wird ausschliesslich für anonymisierte oder aggregierte Webstatistik eingesetzt, soweit eingesetzt.
- Externe Fehlertracking-Dienste wie Sentry werden nicht eingesetzt.
- KI- und Code-Assistenten erhalten keinen Zugriff auf produktive Kundendaten.
- Für die Benutzer-Authentifizierung werden keine Social-Login- oder externen Identity-Provider eingesetzt.
Änderungsverfahren
Geplante neue oder wesentlich geänderte Subprozessoren werden den betroffenen Kunden über die vereinbarte elektronische Kontaktmöglichkeit angekündigt.
Der Kunde kann innerhalb von 14 Tagen aus konkreten datenschutzrechtlichen Gründen widersprechen. Die weitere Behandlung richtet sich nach der AVV.
Vor Freigabe prüft Montrel insbesondere Datenschutzrolle, Datenstandorte, internationale Übermittlungen, Sicherheitsniveau, Vertraulichkeit, Löschung, Incident-Prozess und die vertragliche Weitergabe der Datenschutzpflichten.
Montrel prüft die Liste mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der eingesetzten Dienste, Datenflüsse oder Providerbedingungen.
Kontakt
Datenschutz: privacy@montrel.org