So ist das Register zu lesen
„Eingesetzt“ bedeutet, dass der Dienst für die bezeichnete Fotavio-Funktion vorgesehen und als Unterauftragsverarbeiter genehmigt ist. Die Liste erfasst die direkten Vertragspartner von Fotavio; deren eigene aktuelle Unterauftragnehmer sind über die jeweils verlinkte offizielle Liste belegt und Bestandteil der Anbieterprüfung. Funktionen werden nur produktiv aktiviert, wenn Vertrag, Region, Kontokonfiguration und Transferprüfung des konkreten Fotavio-Kontos dokumentiert sind.

        Cloudflare, Inc. — eingesetzt
Anschrift: 101 Townsend Street, San Francisco, CA 94107, USA.
Dienst und Zweck: DNS, Web Application Firewall, CDN, Pages/Workers, Turnstile, D1 für Landing-Anfragen und E-Mail-Routing; Auslieferung, Angriffsschutz, Botprüfung und Transport.
Daten: IP- und Requestdaten, Sicherheitsereignisse, Formular- und Routingdaten; bei D1 die eingegebenen Landing-Anfragen.
Betroffene: Websitebesucher:innen, Interessent:innen, Studio- und Familiennutzer:innen.
Orte: globales Netzwerk; D1 mit EU-Jurisdiktion für die Landing-Datenbank; Support und verbundene Unternehmen auch außerhalb EU/EWR.
Garantie: EU-US Data Privacy Framework soweit anwendbar, ergänzend EU-Standardvertragsklauseln und Cloudflare-DPA.
Belege: DPA v6.4, aktuelle Unterauftragnehmerliste, D1-Datenlokalisierung.

        Supabase, Inc. — eingesetzt
Anschrift: 970 Toa Payoh North #07-04, Singapore 318992.
Dienst und Zweck: Authentifizierung, PostgreSQL-Datenbank, private Objektspeicherung und Edge Functions für die Fotavio-Anwendung.
Daten: sämtliche für Studioaccounts, Projekte, Teilnehmende, Einwilligungen, Fotos, Galerien, Bestellungen, Kommunikation, Audit und Rechteworkflows erforderlichen Auftragsdaten; keine vollständigen Karten- oder Bankdaten.
Betroffene: Studio- und Teammitglieder, Kinder, Teilnehmende, Eltern, Sorgeberechtigte, Familien und Käufer:innen.
Orte: primäre Projektregion Frankfurt (EU); Support, Sicherheits- und Unterauftragnehmerzugriffe können weitere Länder betreffen.
Garantie: EU-Standardvertragsklauseln und Supabase-DPA; vertragliche und technische Zusatzmaßnahmen.
Belege: DPA, Unterauftragnehmerliste, Regionsdokumentation.

        Plus Five Five, Inc. (Resend) — eingesetzt
Anschrift: 2261 Market Street #5039, San Francisco, CA 94114, USA.
Dienst und Zweck: Versand transaktionaler, vom Studio veranlasster E-Mails sowie Zustell- und Bounce-Verarbeitung.
Daten: Empfängername und -adresse, Betreff, Nachrichteninhalt, Projekt-/Bestellreferenz und Zustellmetadaten; keine Fotooriginale.
Betroffene: Studio- und Teammitglieder, Eltern, Sorgeberechtigte, Käufer:innen und andere Projektkontakte.
Orte: USA und Standorte der von Resend gelisteten Unterauftragnehmer.
Garantie: EU-Standardvertragsklauseln Module 2/3 und Resend-DPA; Datenminimierung und begrenzte Fotavio-Aufbewahrung.
Belege: DPA, Stand 27. August 2026, Unterauftragnehmerliste, Stand 27. August 2026.

        Nicht als Fotavio-Unterauftragsverarbeiter klassifizierte Anbieter

          Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland: Stripe verarbeitet Zahlungs-, Abrechnungs-, Betrugspräventions-, Identitäts- und regulatorische Daten je nach Funktion als Auftragsverarbeiter, eigener oder gemeinsamer Verantwortlicher. Beim Direct-Charge-/Connect-Modell entsteht außerdem ein unmittelbarer Zahlungsdiensterahmen des Studios. Stripe ist deshalb nicht pauschal als Fotavio-Unterauftragsverarbeiter freigegeben; der konkrete Zahlungsfluss und die Stripe-Hinweise gelten ergänzend. Belege: Stripe-DPA, Rollenbeschreibung, Service-Provider-Liste.

          Google Ireland Limited / Google LLC: Der freiwillige Google-OAuth-Login wird von Google für eigene Authentifizierungs- und Sicherheitszwecke nach den Google-Bedingungen erbracht und ist keine Unterauftragsverarbeitung im Auftrag von Fotavio. Ein Consumer-Gmail-Postfach ist für Auftragsdaten nicht freigegeben und wird nicht als Unterauftragsverarbeiter geführt.

          Druck-, Labor- und Versandpartner des Studios: Sie werden vom Studio ausgewählt und beauftragt. Soweit Fotavio nur einen Export oder eine technische Übergabe nach Weisung bereitstellt, sind sie Empfänger bzw. eigene Auftragsverarbeiter des Studios und keine Unterauftragsverarbeiter von Fotavio.

        Änderungen und Widerspruch
Fotavio informiert Studios mindestens 30 Tage vor dem produktiven Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters. Ein begründeter Widerspruch kann innerhalb dieser Frist an felix@fotavio.com gerichtet werden. Jede Fassung erhält eine neue Version und einen neuen SHA-256; die beim Vertragsschluss angenommene Fassung bleibt im Clickwrap-Nachweis erhalten.