Subprozessoren

Supabase

Datenbank, Authentifizierung, Edge Functions

Projekt „klausi-production" fest in AWS eu-west-1 bereitgestellt. Datenbank, Auth und alle Edge Functions laufen in dieser Region.

Region: EU-West (AWS eu-west-1, Irland)

Google Cloud Storage

Datei- und Medien-Speicherung (Belege, Audio, Uploads)

Bucket „klausiapp_eu" ist als GCS EU Multi-Region konfiguriert: Daten werden ausschließlich auf EU-Rechenzentren verteilt und nicht außerhalb der EU gespiegelt. (Vorgängerbucket „klausiapp" wurde nach Migration in die EU-Region am 2026-04-28 gelöscht.)

Region: EU Multi-Region (nur Rechenzentren innerhalb der EU)

Gotenberg (self-hosted)

Serverseitige PDF-Erzeugung und PDF/A-Konvertierung

Open-Source-Komponente, die von Klausi innerhalb der eigenen Google-Cloud-Umgebung betrieben wird; kein eigenständiger externer Empfänger. Per gcloud am 11.08.2026 verifiziert: Service „gotenberg" in europe-west3, nicht öffentlich aufrufbar und mit eigener Service Account Identity.

Region: Google Cloud Run europe-west3 (Frankfurt)

Vercel

Frontend-Auslieferung (statisches React-Bundle)

Klausi hat keine serverseitigen Vercel-Funktionen. Alle Backend-Logik läuft in Supabase Edge Functions in der EU.

Region: Global CDN, Abrechnungssitz EU

Gladia

Live-Übersetzung, Live-Transkription

Der Session-Endpunkt ist im Produktionscode hart auf eu-west gesetzt. Das belegt weder Zero Data Retention noch eine ausschließlich europäische Unterauftragnehmerkette; Plan und Account-Konfiguration müssen separat nachgewiesen werden.

Region: EU-West (Verarbeitung) / EU, USA und Kanada (Unterauftragnehmer)

Deepgram

Audio-Transkription (Upload) und Live-Spracheingabe

Alle Audio-Aufrufe — REST wie WebSocket — gehen hart gegen den EU-Endpoint api.eu.deepgram.com; dein Ton verlässt die EU nicht. Die Management-API von Deepgram (Ausstellung der kurzlebigen Sitzungsschlüssel) ist nicht regionalisiert und nur über api.deepgram.com erreichbar. Dabei werden ausschließlich Projekt- und Schlüsseldaten übertragen, keine Audiodaten und keine Transkripte.

Region: EU (Audio: api.eu.deepgram.com) · USA (nur Schlüsselausstellung: api.deepgram.com)

AssemblyAI

Alternativer Transkriptions-Anbieter — ausschließlich im internen Admin-Werkzeug, nicht im Produktpfad

Wird nur aus dem Plattform-Admin heraus aufgerufen, wenn eine Transkription bei Deepgram fehlschlägt und manuell nachgefahren wird. Kein Kundenpfad löst diesen Anbieter aus. Aufgenommen, weil der Code ihn erreichen kann (Audit 2026-08-15, F-035); die Entfernung des Pfads ist der empfohlene Endzustand.

Region: USA

Anthropic (Claude)

KI-gestützte Analysen, Tagesplan, Command Center

Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Daten werden max. 30 Tage gespeichert und nicht für KI-Training genutzt. Standardvertragsklauseln sind Teil des DPA.

Region: USA

Postmark

Transaktions- und Produkt-E-Mails

Auftragsverarbeitungsvertrag (DPA) mit aktualisierten Standardvertragsklauseln (SCCs) wird allen Kunden angeboten.

Region: USA (mit DPA)

Stripe

Zahlungsabwicklung

Region: Irland / EU (Stripe Payments Europe)

Mapbox

Karten, Routen und Entfernungen in der Reisekostenabrechnung

Bei Nutzung der Kartenfunktionen werden technische Daten (insb. IP-Adresse) an Mapbox Inc. (USA) übermittelt; gestützt auf Standardvertragsklauseln bzw. einen Angemessenheitsbeschluss, soweit einschlägig.

Region: USA

PostHog

Produkt-Analytics (nur mit Einwilligung)

Endpoint: eu.posthog.com (EU-Cloud-Instanz).

Region: EU

Cloudflare Turnstile

Bot- und Missbrauchsschutz bei der Registrierung

Technisch notwendige Sicherheitsprüfung. Cloudflare verarbeitet dabei insbesondere IP-Adresse, TLS-Fingerprint, User-Agent sowie Sitekey und zugehörigen Ursprung; das Ergebnis wird serverseitig validiert.

Region: Globales Cloudflare-Netzwerk / USA