Sicherheit · DSGVO Art. 28
Subprozessoren-Übersicht
Kategorien aller Auftragsverarbeiter, die Liedio im Rahmen der Lied-Erstellung einsetzt — mit Zweck, Region und Compliance-Status. Stand: 5. Mai 2026.
Vollständige namentliche Liste im Auftragsverarbeitungsvertrag (AVV)
Auf dieser öffentlichen Seite zeigen wir die Kategorien unserer Auftragsverarbeiter — das ermöglicht Kita-Leitungen einen schnellen Überblick über Datenflüsse und Drittländer, ohne dass wir unsere konkreten Tool-Entscheidungen vollständig öffentlich machen. Die rechtsverbindliche, namentlich vollständige Subprozessoren-Liste liefert Anlage 2 unseres Auftragsverarbeitungsvertrags (AVV) — das erfüllt unsere Pflichten nach DSGVO Art. 28 Abs. 2 und Art. 30 Abs. 2 vollumfänglich. AVV-Vorlage herunterladen oder Anfrage an datenschutz@liedio.de.
| Kategorie | Zweck | Region | SCC |
|---|---|---|---|
| EU-Cloud-Hosting 1 Anbieter (namentlich im AVV) | Anwendungsbetrieb, Datenbank, Storage und Build-Infrastruktur. Verarbeitet Auftragsdaten ausschließlich auf EU-Servern. | EU (europe-west1, Belgien) | ✓ |
| KI-Sprachmodell-Anbieter 1 Anbieter (namentlich im AVV) | Generierung des Liedtextes aus Vorname und Anlass. Übermittelt werden Vorname und gewählter Anlass — keine Nachnamen, keine sensiblen Daten. | USA (mit SCCs) | ✓ |
| KI-Audio-Generation-Anbieter 1 Anbieter (namentlich im AVV) | Generierung der Audio-Aufnahme (Musik, Gesang, Mix) aus dem zuvor erstellten Liedtext. Übermittelt wird der Liedtext inklusive Vorname. | USA (mit SCCs) | ✓ |
| Bot-Schutz / CAPTCHA-Anbieter 1 Anbieter (namentlich im AVV) | Schutz gegen automatisierte Anfragen via CAPTCHA-Challenge. Verarbeitet ausschließlich IP und technische Metadaten — keine personenbezogenen Inhaltsdaten. | Global (mit SCCs) | ✓ |
| Web-Analyse 1 Anbieter (namentlich im AVV) | Misst die Nutzung der Website (Google Analytics 4) zur Verbesserung des Angebots — ausschließlich nach ausdrücklicher Analyse-Einwilligung. Setzt Cookies und übermittelt Daten an Google. | USA (EU-US Data Privacy Framework + SCCs) | ✓ |
| Marketing / Conversion-Tracking 1 Anbieter (namentlich im AVV) | Misst den Erfolg von Werbeanzeigen (Google Ads) — ausschließlich nach ausdrücklicher Marketing-Einwilligung. Setzt Cookies und übermittelt Daten an Google. | USA (EU-US Data Privacy Framework + SCCs) | ✓ |
Insgesamt 6 Auftragsverarbeiter in 6 Kategorien.
Drittlandübermittlung: Übertragungen in die USA erfolgen ausschließlich auf Basis der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) sowie ergänzender technischer Schutzmaßnahmen. Risikobewertungen (Transfer Impact Assessments, TIAs) liegen für jeden einzelnen US-Subprozessor vor und werden Datenschutz-Beauftragten gemeinsam mit dem AVV-Anhang auf Anfrage zur Verfügung gestellt.
Vorankündigungspflicht: Änderungen am Subprozessoren-Bestand werden gemäß Art. 28 Abs. 2 DSGVO mindestens 30 Tage vor Wirksamwerden auf dieser Seite und im Auftragsverarbeitungsvertrag (AVV) angekündigt. Verantwortliche haben das Recht, dem Einsatz neuer Subprozessoren binnen 14 Tagen zu widersprechen.
Datenminimierung: An die Subprozessoren werden ausschließlich die für die Lied-Erstellung notwendigen Daten übermittelt — Pflichtfelder (Vorname, Anlass, Stimmung, ggf. weitere Vornamen bei Gruppen-Liedern) und optionale Personalisierungs-Felder (Familienform-Kategorie, Sonderwunsch mit URL-/HTML-/Kontaktdaten-Filter, Aussprache-Hilfe, Story-Modus). Keine Nachnamen, Geburtsdaten, Adressen, Fotos oder Gesundheitsdaten.
Zahlungsdienstleister: Unser Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin) handelt bei der Zahlungsabwicklung als eigenständig Verantwortlicher und ist daher nicht Teil dieser Auftragsverarbeiter-Liste. Kartendaten berühren unsere Server nicht (PCI-DSS SAQ-A); Einzelheiten in der Datenschutzerklärung.
Werbe-/Conversion-Messung (Meta): Für das Meta-Pixel und die Meta Conversions API sind wir und die Meta Platforms Ireland Ltd. gemeinsam Verantwortliche (Art. 26 DSGVO) — Meta ist daher kein Auftragsverarbeiter und nicht Teil dieser Liste. Die Verarbeitung erfolgt ausschließlich nach Ihrer Marketing-Einwilligung; eingegebene Kindervornamen und Freitexte werden technisch ausgeschlossen und nicht übermittelt. Einzelheiten in der Datenschutzerklärung.
Kontakt für Datenschutz-Anfragen: datenschutz@liedio.de. Auf Anfrage stellen wir Kopien der einzelnen Auftragsverarbeitungsverträge (DPAs) zur Einsicht für Träger-Datenschutz-Beauftragte bereit.
Verwandte Compliance-Themen
Sicherheit & Compliance
Trust-Center: AVV, TOMs, DSGVO-Datenminimierung, Löschkonzept und Subprozessoren-Liste auf einen Blick.
Datenschutzerklärung
Vollständige Datenschutzerklärung nach Art. 13 DSGVO mit Rechten der Betroffenen, Speicherdauer und Löschkonzept.
Datenschutz & AVV im Kindergarten
Wie Kitas personenbezogene Kinderdaten DSGVO-konform verarbeiten — mit AVV-Pflicht, Einwilligung und Löschkonzept.