Rechtliches
Liste der Unterauftragsverarbeiter
Kurz gesagt
- Dies ist die vollständige Liste der Parteien, die etwas von deinen Daten sehen, und was sie damit tun.
- Das meiste bleibt in den Niederlanden. Es gibt vier Stellen, an denen die Antwort nicht „einfach europäisch" ist, und diese sind mit Namen und allem Drum und Dran genannt.
- Dienste, die du hier erwarten würdest — Übersetzen, das Moderationsmodell, Besucherzahlen — stehen bewusst nicht darauf: Die laufen auf unserem eigenen Server.
- Diese Liste wird automatisch aufgebaut aus den Komponenten, die Debaty tatsächlich verwendet. Sie kann der Wirklichkeit nicht hinterherhinken.
Auf dieser Seite
- Was ist ein Unterauftragsverarbeiter?
- Wie diese Liste entsteht
- Die Unterauftragsverarbeiter
- Parteien, die selbst verantwortlich sind
- Der Push-Dienst deines Browsers
- Was kein Unterauftragsverarbeiter ist
- Wo es nicht einfach europäisch ist
- Wenn sich diese Liste ändert
- Version und Änderungen
- Sprache und Geltung
Was ist ein Unterauftragsverarbeiter?
Kurz: ein Dienstleister, der in unserem Auftrag personenbezogene Daten verarbeitet, unter einem Vertrag, den das Gesetz vorschreibt.
Damit Debaty funktioniert, ziehen wir eine kleine Anzahl von Dienstleistern hinzu. Verarbeitet eine solche Partei personenbezogene Daten in unserem Namen, dann heißt das ein Unterauftragsverarbeiter, und wir schließen dafür einen Auftragsverarbeitungsvertrag: einen Vertrag, für den die AVG (Artikel 28) vorschreibt, was darin stehen muss. Der Kern davon ist, dass sie nur das tun, was wir anweisen, und nichts für sich selbst.
Nicht jede Partei, die etwas von dir sieht, ist ein Unterauftragsverarbeiter. Wer selbst bestimmt, was mit den Daten geschieht, ist ein eigenständiger Verantwortlicher, und dann wäre ein solcher Vertrag rechtlich unzutreffend. Dieser Unterschied bestimmt, an wen du dich wenden musst, wenn etwas schiefgeht, deshalb steht er hier je Partei.
Wie diese Liste entsteht
Kurz: Sie wird aus den laufenden Komponenten generiert, nicht von Hand gepflegt.
Debaty führt im Quellcode eine einzige Liste über alles, was läuft: welche Komponente es ist, wer sie verwaltet, in welchem Land sie steht und welchem Recht sie unterliegt. Diese Seite, die Herkunftsseite und dein eigenes Datenpass lesen alle aus derselben Liste.
Das ist nicht ordentliches Aufräumen, sondern eine Notwendigkeit. Denn diese Seite ist in der Vergangenheit tatsächlich hinterhergehinkt: Es stand dort, dass deine Fotos auf unserem eigenen Speicher lägen, während sie schon bei Cloudflare lagen, und die Datenschutzerklärung daneben sagte das Richtige. Eine Liste, die von Hand gepflegt wird, hinkt hinterher, sobald jemand vergisst, sie zu aktualisieren — und niemand bemerkt das, denn es erscheint keine Fehlermeldung. Jetzt bricht ein Test, sobald ein Dienst hinzukommt, der hier nicht beschrieben ist.
Die Unterauftragsverarbeiter
Kurz: Diese vier verarbeiten Daten in unserem Auftrag.
| Partei | Was sie tun | Wo | Rechtsgrundlage |
|---|---|---|---|
| Onworx BV | Stellt die Maschine bereit, auf der Debaty läuft. Alles liegt dort: die Datenbank, die Sitzungen, die Gespräche, die Back-ups. Sie schauen nicht hinein – sie liefern die Hardware, wir bestimmen, was darauf geschieht. | Niederlande | Auftragsverarbeitungsvertrag (AVG Art. 28) |
| Cloudflare | Steht als Sicherheitsschicht vor debaty.com und fängt den Verkehr ab, bevor er unseren eigenen Server erreicht. Dadurch läuft alles, was du auf Debaty tust, dort entlang: die Seiten, die du aufrufst, die Beiträge, die du postest, dein Anmeldeversuch. Cloudflare beendet die gesicherte Verbindung, sodass dieser Verkehr dort lesbar ist, und sieht dabei deine IP-Adresse. Wir nutzen diese Schicht, um Angriffe und Missbrauch abzuwehren, nicht um dich zu verfolgen: Es liegt kein Cloudflare-Cookie auf deinem Gerät und wir verknüpfen nichts mit deinem Konto. | wechselt je nach Besucher | Auftragsverarbeitungsvertrag (AVG Art. 28) |
| Cloudflare | Speichert die Fotos und Videos, die du hochlädst. Der Speicher ist privat: Die Dateien sind nicht direkt erreichbar, sie gelangen über Debaty zu dir. | Europäische Union | Auftragsverarbeitungsvertrag (AVG Art. 28) |
| Veriff | Prüft deinen Ausweis, und nur, wenn du diese Prüfung selbst startest. Wir bekommen das Ergebnis zu sehen, nicht deine Dokumente. | Estland | Auftragsverarbeitungsvertrag (AVG Art. 28) |
| Mistral AI | Gibt eine zweite Einschätzung zu einem Beitrag ab, mit dem unsere eigene Moderationssoftware nicht zurechtkommt. Nur dann verlässt der Text dieses einen Beitrags das Haus – ohne deinen Namen, dein Konto oder deine IP-Adresse. | Frankreich | Auftragsverarbeitungsvertrag (AVG Art. 28) |
Parteien, die selbst verantwortlich sind
Kurz: Diese beiden bestimmen selbst, was sie tun; deshalb gibt es keinen Auftragsverarbeitungsvertrag.
| Partei | Was sie tun | Wo | Rechtsgrundlage |
|---|---|---|---|
| Mollie | Wickelt deine Zahlung für Debaty+ ab. Deine Zahlungsdaten gehen direkt an Mollie; wir sehen niemals eine Konto- oder Kartennummer. | Niederlande | Eigenverantwortung von Mollie — kein Auftragsverarbeitungsvertrag, siehe unten |
| KLIPY | Liefert die GIFs im Auswahlfenster. Nur dein Suchbegriff geht über unseren Server an sie; die Vorschauen laufen ebenfalls über uns, sodass dein Browser niemals direkt mit ihnen kommuniziert. | Georgien | Eigenverantwortung von KLIPY — wir senden keine Daten über dich mit |
Warum dem kein Vertrag zugrunde liegt. Bei Mollie gehen deine Zahlungsdaten direkt von dir an Mollie; wir sind nicht dazwischengeschaltet und sehen keine Konto- oder Kartennummern. Mollie entscheidet selbst, wie es diese Daten verarbeitet, hat dafür eine eigene Datenschutzerklärung und ist dafür selbst verantwortlich. Ein Auftragsverarbeitungsvertrag würde behaupten, dass wir das Sagen hätten, und das ist nicht der Fall. Bei KLIPY liegt es anders, läuft aber auf dasselbe hinaus: Wir senden keinerlei Daten über dich mit, nur den Suchbegriff, den du eingibst.
Der Push-Dienst deines Browsers
Kurz: wir wählen diese Partei nicht aus — dein Browser tut das.
| Partei | Was sie tun | Wo | Rechtsgrundlage |
|---|---|---|---|
| Debaty | Stellt eine Push-Nachricht auf deinem Gerät zu. Welcher Dienst das ist, bestimmt dein Browser und nicht Debaty: bei Chrome ist das Google, bei Safari Apple, bei Firefox Mozilla. Der Text der Nachricht läuft dort hindurch. | wechselt je nach Besucher | Wir wählen diese Partei nicht aus und haben keinen Vertrag mit ihr — schalte Push-Nachrichten aus, und es geht nichts hindurch |
Wenn du Push-Nachrichten einschaltest, erstellt dein Browser eine Adresse bei seinem eigenen Push-Dienst und gibt sie an uns weiter. Wir senden die Nachricht an diese Adresse. Welche Partei dahintersteckt, hängt von deinem Browser ab und nicht von uns — und es ist die einzige Zeile auf dieser Seite, bei der wir die Partei nicht selbst ausgewählt haben. Wenn du Push-Nachrichten ausschaltest, geht nichts hindurch.
Was kein Unterauftragsverarbeiter ist
Kurz: das läuft auf unserem eigenen Server, auch wenn du einen externen Dienst erwarten würdest.
| Komponente | Was es tut | Wo |
|---|---|---|
| Debaty | Zählt Besucherzahlen. Selbst gehostet, ohne Cookies, nicht mit deinem Konto verknüpft und nie auf Verwaltungsseiten. | Niederlande |
| Debaty | Übersetzt eine Nachricht, wenn du auf „Übersetzen“ tippst. Eigene Software auf unserem eigenen Server: der Text geht nie an einen externen Übersetzungsdienst. | Niederlande |
| Debaty | Stellt fest, in welcher Sprache eine Nachricht geschrieben ist, damit sie bei der richtigen Moderationssoftware landet. Eigene Software auf unserem eigenen Server. | Niederlande |
| Debaty | Das Sprachmodell, das mögliche Verstöße markiert. Eigene Software auf unserem eigenen Server; nur im Zweifelsfall geht eine Nachricht an Mistral (siehe oben). | Niederlande |
Auch unser Mailserver gehört uns selbst: eine E-Mail von Debaty läuft nicht über einen externen Versanddienst. Dasselbe gilt für die Datenbank, die Sitzungen und die Suchfunktion.
Wo es nicht einfach europäisch ist
Kurz: fünf ehrliche Anmerkungen, denn sie wegzulassen würde den Rest dieser Seite weniger wert machen.
| Wo | Was los ist |
|---|---|
| Cloudflare (die Sicherheitsschicht vor der Website) | Seit dem 7. August 2026 kommt der gesamte Verkehr zu debaty.com zuerst hier an, und die gesicherte Verbindung wird dort beendet — dies ist also die Partei, die am meisten von deinem Verkehr sieht. Cloudflare ist ein amerikanisches Unternehmen. Anders als bei der Speicherung weiter unten gibt es keine Zuständigkeitsgrenze: Welches Rechenzentrum deine Anfrage bearbeitet, hängt davon ab, wo du bist. Für Besucher aus den Niederlanden ist das Amsterdam. |
| Cloudflare R2 (deine Fotos und Videos) | Die Dateien liegen in der EU — das ist eine harte Einstellung der Speicherung, kein Versprechen. Aber Cloudflare ist ein amerikanisches Unternehmen, und damit bleibt der amerikanische CLOUD Act anwendbar. Beides ist wahr und wir lassen beides so stehen. |
| KLIPY (die GIF-Auswahl) | Sitzt in Georgien, außerhalb der EU. Deshalb schicken wir nichts über dich dorthin: nur deinen Suchbegriff, über unseren Server. Dein Browser spricht nie direkt damit. |
| Der Push-Dienst | Kann überall stehen, denn dein Browser wählt ihn aus. |
| Der Domainname | Unser Registrar sitzt in Deutschland, aber das Register hinter .com wird von einem amerikanischen Unternehmen verwaltet. Das berührt keine personenbezogenen Daten von dir, aber es gehört in die Aufzählung. |
Die vollständige Liste mit allem, was läuft, und unter welchem Recht es fällt, steht auf der Herkunftsseite. Die Ausnahmen zur Übermittlung stehen auch in der Datenschutzerklärung.
Wenn sich diese Liste ändert
Kurz: Du musst das nicht im Auge behalten – eine Änderung erscheint im Änderungsverlauf.
Wenn wir eine neue Partei in Betrieb nehmen oder eine bestehende nicht mehr nutzen, ändert sich diese Seite automatisch mit: Sie wird aus den Bestandteilen aufgebaut, die tatsächlich laufen.
Eine solche Änderung melden wir an zwei Stellen. Das Datum am Ende dieser Seite rückt vor, und der Änderungsverlauf bekommt eine Zeile mehr. Diesem Überblick kannst du folgen; diese Seite musst du also nicht selbst im Auge behalten.
Wir schicken dir keine gesonderte E-Mail für jede Änderung. Das versprechen wir nicht, weil wir es nicht einhalten würden: Eine Liste mit allen Mitgliedern bei jeder technischen Änderung anzuschreiben, ist etwas, das einmal geschieht und danach verwässert. Ändert sich etwas Grundlegendes daran, wer deine personenbezogenen Daten verarbeitet, dann erfährst du das sehr wohl – über die Ankündigung, die zu den Nutzungsbedingungen gehört, dreißig Tage im Voraus.
Version und Änderungen
Kurz: Dies ist Version 1.0 dieses Dokuments, festgelegt am 23. Juli 2026.
- v1.0 — 23. Juli 2026. Erste festgelegte, vollständige Version dieses Dokuments.
Sprache und Geltung
Kurz: Die Fassung, die du liest, gilt für dich — auch wenn es eine Übersetzung ist.
Dieses Dokument gibt es auf Debaty in vierzehn Sprachen. Die Fassung in deiner Sprache gilt für dich, und sie bindet auch uns. Weicht eine Übersetzung vom niederländischen Text ab, gilt die für dich günstigste Auslegung: Unseren eigenen Übersetzungsfehler können wir dir nicht entgegenhalten.
Niederländisch ist die Sprache, in der wir Änderungen schreiben und an der wir Übersetzungen prüfen. Das ist eine Arbeitsabsprache in unserem Unternehmen, keine Rangfolge zwischen Lesenden. Hinkt eine Übersetzung dem niederländischen Text hinterher, sagen wir das oben auf der Seite, mit beiden Daten.
Wo auch immer du wohnst: Das zwingende Verbraucherrecht deines eigenen Landes gilt weiterhin, unabhängig davon, was hier sonst steht.
Zuletzt aktualisiert: 7. August 2026