Sub-Auftragsverarbeiter (Subdienstleister) — Schmeckt.

Diese Seite führt die aktuell eingesetzten Sub-Auftragsverarbeiter der Plattform Schmeckt. auf. Grundlage ist der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO sowie die Datenschutzerklärung (Abschnitt 6).

Eingesetzte Sub-Auftragsverarbeiter

Lovable Labs Incorporated Sitz: Dover, Delaware, USA (Vertreterin in der EU: Lovable Labs AB, Stockholm). Funktion: Plattform-Hosting, Backend-Infrastruktur, KI-Funktionen über den Lovable AI Gateway sowie Versand transaktionaler E-Mails. Hosting in EU-Rechenzentren (Region Irland). Über den Gateway werden ausgewählte KI-Modelle (u. a. Google Gemini, OpenAI GPT) bereitgestellt; die Auswahl und Anbindung erfolgt durch Lovable als Auftragsverarbeiter. US-Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Module 2 und 3). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor.

Supabase Inc. Sitz: San Francisco, USA, mit aktiver EU-Region (Irland). Funktion: Datenbank, Authentifizierung, Speicher. Supabase wird von Lovable als deren Sub-Auftragsverarbeiter eingesetzt und ist damit mittelbarer Sub-Auftragsverarbeiter von Schmeckt. Standardvertragsklauseln der EU-Kommission und EU-US Data Privacy Framework.

Paddle Payments Limited Sitz: The Academy, 42 Pearse Street, Dublin 2, Irland. Funktion: Merchant of Record für kostenpflichtige Pläne; Rechnungsstellung, Zahlungsabwicklung und Umsatzsteuer-Abführung. Paddle agiert als eigenständig Verantwortlicher, nicht als Auftragsverarbeiter. Innerhalb der Paddle-Gruppe können Daten an verbundene Unternehmen in Großbritannien, den USA und Kanada übermittelt werden, abgesichert über Adequacy-Beschlüsse (UK, Kanada) bzw. Standardvertragsklauseln und EU-US Data Privacy Framework. Datenschutz: paddle.com/legal/privacy.

Änderungen der Sub-Auftragsverarbeiter

Beabsichtigte Änderungen (Aufnahme oder Austausch eines Sub-Auftragsverarbeiters) werden der Auftraggeberin mindestens 14 Tage vor Wirksamwerden in Textform mitgeteilt. Die Auftraggeberin kann der Änderung binnen 14 Tagen ab Zugang der Mitteilung aus wichtigem, datenschutzbezogenem Grund widersprechen. Im Falle eines berechtigten Widerspruchs, der eine Fortsetzung der Verarbeitung verhindert, steht der Auftraggeberin ein außerordentliches Kündigungsrecht zu.

Die Auftragnehmerin verpflichtet alle Sub-Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO auf dieselben Datenschutzpflichten und haftet der Auftraggeberin gegenüber für deren Einhaltung.

Stand: Juli 2026.

Die deutsche Fassung ist die rechtsverbindliche.