Übersetzungshinweis

⚠️ WICHTIGER HINWEIS: Dieses Dokument wurde aus dem Türkischen übersetzt. Bei Unstimmigkeiten oder Konflikten zwischen dieser Übersetzung und der türkischen Originalversion ist die türkische Version maßgebend. Die türkische Originalversion finden Sie unter: https://evaste.co/tr/legal/sub-processors

1. Einleitung

1.1. Zweck

Dieses Dokument enthält die aktuelle Liste der von Evaste eingesetzten Drittanbieter-Unterauftragsverarbeiter (Sub-processors).

Gemäß DSGVO Artikel 28 und KVKK sind wir verpflichtet, unsere Kunden über die eingesetzten Unterauftragsverarbeiter zu informieren.

1.2. Definition

Unterauftragsverarbeiter sind Drittanbieter-Dienstleister, die im Auftrag von Evaste einen Teil der personenbezogenen Datenverarbeitung durchführen.

1.3. Geltungsbereich

Die in dieser Liste aufgeführten Unterauftragsverarbeiter:

• Stellen die Infrastruktur für die Evaste-Plattform bereit
• Bieten Datenspeicherungs- und Verarbeitungsdienste an
• Stellen Kundensupport- und Kommunikationstools bereit
• Wickeln Zahlungsverarbeitung ab
• Bieten Analyse- und Überwachungsdienste an

2. Unterauftragsverarbeiter-Richtlinie

2.1. Auswahlkriterien

Bei der Auswahl von Unterauftragsverarbeitern werden folgende Kriterien bewertet:

(a) Sicherheitszertifizierungen

• ISO 27001
• SOC 2 Type II
• PCI DSS (für Zahlungsanbieter)

(b) Datenschutz-Compliance

• DSGVO-Konformität
• KVKK-Konformität
• Datenschutzrichtlinien

(c) Technische Kompetenz

• Servicezuverlässigkeit
• Leistungsstandards
• Skalierbarkeit

2.2. Vertragliche Anforderungen

Mit allen Unterauftragsverarbeitern haben wir:

• Datenverarbeitungsvertrag (DPA) abgeschlossen
• EU-Standardvertragsklauseln (SCC) unterzeichnet (wo erforderlich)
• Vertraulichkeits- und Sicherheitsverpflichtungen eingeholt

2.3. Kontinuierliche Überwachung

Unterauftragsverarbeiter werden regelmäßig:

• Auf Sicherheitszertifizierungen überprüft
• Auf Compliance-Status bewertet
• Hinsichtlich ihrer Leistung überwacht

3. Aktuelle Unterauftragsverarbeiter

Nachfolgend finden Sie eine Zusammenfassung der von Evaste eingesetzten Unterauftragsverarbeiter.

Garantie-Erklärungen:

• DPF: EU-US Data Privacy Framework
• SCC: EU-Standardvertragsklauseln

CLOUD-INFRASTRUKTUR-DIENSTE

Amazon Web Services (AWS): Cloud-Infrastruktur, Server-Hosting, Datenspeicherung. Alle Plattformdaten werden verschlüsselt gespeichert. ISO 27001, SOC 2 Type II, PCI DSS zertifiziert.

Google Cloud Platform (GCP): Backup-Cloud-Infrastruktur, Datenverarbeitung. ISO 27001, SOC 2 Type II zertifiziert.

CDN- UND SICHERHEITSDIENSTE

Cloudflare: CDN, DDoS-Schutz, SSL/TLS, Sicherheit. IP-Adressen, HTTP-Header, Verkehrsdaten werden verarbeitet. ISO 27001, SOC 2 Type II zertifiziert.

ZAHLUNGSABWICKLUNGSDIENSTE

Stripe: Zahlungsabwicklung, Rechnungsstellung. PCI DSS Level 1, SOC 2 Type II zertifiziert. Hinweis: Kreditkartennummern werden von Stripe verarbeitet und nicht in Evaste-Systemen gespeichert.

KUNDENSUPPORT UND KOMMUNIKATION

Intercom: Live-Support, Kundenkommunikation, Wissensdatenbank. Name, E-Mail, Support-Gespräche werden verarbeitet. SOC 2 Type II zertifiziert.

E-MAIL-DIENSTE

SendGrid (Twilio): Transaktions-E-Mail-Versand. E-Mail-Adressen, E-Mail-Inhalte, Zustellungsprotokolle werden verarbeitet. SOC 2 Type II, ISO 27001 zertifiziert.

ANALYSE- UND ÜBERWACHUNGSDIENSTE

Google Analytics (Optional): Web-Analytik, Nutzungsstatistiken. IP-Adressen werden anonymisiert. ISO 27001, SOC 2 Type II zertifiziert.

FEHLERVERFOLGUNG UND MONITORING

Sentry: Fehlerverfolgung, Anwendungsleistungsüberwachung. Fehlerprotokolle, Stack-Traces werden verarbeitet (minimale personenbezogene Daten). SOC 2 Type II zertifiziert.

3A. Empfänger für die Werbemessung (eigenständige Verantwortliche, einwilligungsbasiert)

Evaste teilt begrenzte Ereignisdaten mit den nachstehenden Empfängern ausschließlich, um die eigene Werbung auf evaste.co sowie auf den Registrierungs-, Onboarding- und Abonnementseiten von app.evaste.co zu messen. Die Weitergabe erfolgt über den Meta Pixel (Browser) und die Meta Conversions API (Server) und nur, nachdem der Besucher die Cookie-Kategorie „Marketing“ akzeptiert hat.

Diese Empfänger sind keine Unterauftragsverarbeiter von Evaste. Sie verarbeiten nicht im Auftrag von Evaste personenbezogene Daten unserer Kunden oder der Endbesucher der Websites unserer Kunden. Meta handelt zu eigenen Zwecken als eigenständiger Verantwortlicher gemäß den eigenen Bedingungen und der Datenschutzrichtlinie von Meta: https://www.facebook.com/privacy/policy

Weitergegebene Daten:

• Gehashte E-Mail-Adresse
• Gehashte interne Nutzerkennung
• Gehashte Telefonnummer (nur im Kontaktformular)
• IP-Adresse
• Browser-User-Agent
• Kennungen _fbp und _fbc
• Ereignistyp
• Tarifname
• Betrag (ohne Mehrwertsteuer)

Zahlungskartendaten werden zu keinem Zeitpunkt weitergegeben. Diese Weitergabe betrifft weder das Consent-Widget auf den Websites unserer Kunden noch die Daten der Endbesucher unserer Kunden.

Übermittlungsgarantien: Übermittlungen an Meta Platforms, Inc. in den USA stützen sich auf das EU-US Data Privacy Framework (DPF) und/oder auf Standardvertragsklauseln (SCC).

4. Datenübertragungsgarantien

4.1. Übertragungen außerhalb des EWR

Für Datenübertragungen an US-Unterauftragsverarbeiter gelten folgende Garantien:

• EU-US Data Privacy Framework (DPF): Viele unserer Unterauftragsverarbeiter sind DPF-zertifiziert.
• Standardvertragsklauseln (SCC): Die 2021 von der EU-Kommission genehmigten SCC wurden mit allen Unterauftragsverarbeitern unterzeichnet.
• Ergänzende technische Maßnahmen: Datenverschlüsselung (bei Übertragung und Speicherung), Pseudonymisierung (wo möglich), Zugangskontrolle und Überwachung

4.2. Transfer-Folgenabschätzung (TIA)

Für jeden Unterauftragsverarbeiter wurde eine Transfer-Folgenabschätzung durchgeführt:

• Bewertung der Gesetzgebung des Ziellandes
• Analyse der Risiken des Regierungszugriffs
• Bewertung der Angemessenheit ergänzender Maßnahmen

TIA-Ergebnisse sind auf Anfrage verfügbar.

4.3. Datenlokalisierungsoption

Für Unternehmenskunden:

• Option zur Datenspeicherung in der EU-Region
• Option zur Datenspeicherung in der Türkei (auf Anfrage)

5. Änderungsbenachrichtigung

5.1. Hinzufügen neuer Unterauftragsverarbeiter

Vor dem Hinzufügen eines neuen Unterauftragsverarbeiters:

• E-Mail-Benachrichtigung mindestens 30 Tage im Voraus
• Aktualisierte Liste wird auf der Website veröffentlicht
• DPA-Kunden werden separat benachrichtigt

5.2. Benachrichtigungsinhalt

Benachrichtigungen über neue Unterauftragsverarbeiter enthalten:

• Name und Standort des Unterauftragsverarbeiters
• Verarbeitungszweck
• Arten der zu verarbeitenden Daten
• Angewandte Garantien

5.3. Updates verfolgen

Um Updates zu dieser Liste zu verfolgen:

• E-Mail-Abonnement: subprocessors@evaste.co
• Webseite: https://evaste.co/legal-center/sub-processors
• RSS-Feed: https://evaste.co/legal-center/sub-processors/feed

6. Widerspruchsverfahren

6.1. Widerspruchsrecht

Kunden, die einen Datenverarbeitungsvertrag (DPA) unterzeichnet haben, können der Nutzung neuer Unterauftragsverarbeiter widersprechen.

6.2. Widerspruchsprozess

• Der Widerspruch muss schriftlich innerhalb von 15 Tagen nach Benachrichtigung erfolgen
• Der Widerspruch muss angemessene und konkrete Gründe enthalten
• Der Widerspruch ist zu senden an: dpa@evaste.co

6.3. Widerspruchsbewertung

• Evaste wird Widersprüche innerhalb von 10 Werktagen bewerten
• Mit dem Kunden werden Verhandlungen in gutem Glauben geführt
• Alternative Lösungen werden erkundet

6.4. Keine Einigung

Wenn die Parteien keine Einigung erzielen können:

• Der Kunde hat das Recht, den DPA zu kündigen
• Der Service wird biş zum Ende des aktuellen Abonnementzeitraums fortgesetzt
• Datenrückgabe-/Löschverfahren werden angewendet

7. Kontaktinformationen

Für Fragen zu Unterauftragsverarbeitern:

Evaste (Group Taiga) Adresse: Levent, Istanbul, Türkei

Allgemeine Anfragen: info@evaste.co Unterauftragsverarbeiter-Benachrichtigungen: subprocessors@evaste.co Datenschutz: dpa@evaste.co

Web: https://evaste.co/legal-center/sub-processors Telefon: +90 532 494 42 64

Diese Unterauftragsverarbeiter-Liste wurde zuletzt am 21. September 2026 aktualisiert.

Diese Liste wird veröffentlicht, um unsere Benachrichtigungspflichten gemäß DSGVO Artikel 28/2 und unserem Datenverarbeitungsvertrag zu erfüllen.