Aktualisiert am 2026-09-14

Verzeichnis der Unterauftragsverarbeiter

Liste externer Stellen, die personenbezogene Daten im Auftrag der Polska Grupa Wierzytelności verarbeiten. Jede Änderung wird mit einer Vorlaufzeit von 30 Tagen angekündigt.Während dieser Zeit kann ein Unternehmenskunde schriftlich an die in der Datenschutzerklärung angegebene Kontaktadresse Einspruch erheben.

Aktive Unterauftragsverarbeiter

Stellen, die derzeit an der Verarbeitung von Daten in der Produktionsumgebung beteiligt sind.

Supabase

Supabase Inc.

HIGH Aktiv, DPA unterzeichnet

Dienstleistung: Managed PostgreSQL (Datenbank), Storage (Dokumentenscans), Auth (Anmeldung). Produktionsumgebung der Plattform.
Umfang der Daten: Vollständiger Umfang der Anwendungsdaten: Benutzerkonten, Fälle, Dokumente und Korrespondenz. Tatsächliche Daten von Kunden und Schuldnern.
Standort: Europäische Union — Region `eu-central-1` (Frankfurt, Deutschland); Infrastruktur: Amazon Web Services als Anbieter von Supabase
DPA / formaler Status: DPA am 2026-05-22 unterzeichnet (Berichtigung in Arbeit). Geplante Migration der Datenbank nach Azure Poland Central, siehe „Geplant“.

Microsoft Azure Container Apps

Microsoft Corporation

HIGH Aktiv, DPA unterzeichnet

Dienstleistung: Hosting der Anwendung (Server- und API-Schicht). Jede Benutzeranfrage durchläuft diese Schicht; Daten werden im Arbeitsspeicher und in Diagnoseprotokollen verarbeitet.
Umfang der Daten: Daten, die bei der Bearbeitung von Anfragen durch die Anwendung laufen – Verarbeitung im Arbeitsspeicher, OHNE dauerhafte Speicherung (Datenbank und Dateien bleiben bei Supabase). Technische Protokolle ohne Fallinhalte (Azure Monitor / Log Analytics).
Standort: EU. Poland Central
DPA / formaler Status: Abgedeckt durch Microsoft DPA / Azure Online Services Terms.

Microsoft Azure Communication Services

Microsoft Corporation

HIGH Aktiv, DPA unterzeichnet

Dienstleistung: Versand ausgehender Plattform-E-Mails (Benachrichtigungen und Korrespondenz an Kunden und Schuldner). Dies ist der tatsächliche technische Absender der Nachrichten.
Umfang der Daten: Inhalt und Empfänger der von der Plattform versendeten E-Mails.
Standort: EU
DPA / formaler Status: Abgedeckt durch Microsoft DPA / Azure Online Services Terms.

Buchhaltung (inFakt)

inFakt sp. z o.o., KRS 0000325203

HIGH Aktiv, DPA in Bearbeitung

Dienstleistung: Buchführung, Ausstellung und Erfassung von Rechnungen, Steuerabrechnungen sowie Lohnabrechnung.
Umfang der Daten: Daten aus an Kunden ausgestellten Rechnungen (Name, Adresse, NIP, Beträge) sowie Buchungen des Bankkontos, einschließlich Zahlungen von Schuldnern mit Verwendungszweck. Personal- und Lohndaten der Mitarbeiter.
Standort: Polen — Krakau
DPA / formaler Status: Auftragsverarbeitungsvertrag — Status noch zu bestätigen.

Microsoft Azure OpenAI

Microsoft Corporation

HIGH Aktiv, DPA in Bearbeitung

Dienstleistung: Sprachmodelle (LLM) + Embeddings für den Rechtsassistenten, RAG in Fallakten und Dokumentenanalyse. Microsoft verwendet Kundendaten NICHT zum Trainieren der Modelle. Einziger KI-Anbieter (keine Modelle außerhalb von Microsoft).
Umfang der Daten: Inhalt der Fragen und anonymisierter Fallkontext: Ebene 1 Regex (PESEL/NIP/IBAN/E-Mail/Telefon) + Ebene 2 NER (Nachnamen/Adressen/Unternehmen).
Standort: EU. Poland Central (bevorzugt) / Sweden Central (Fallback)
DPA / formaler Status: Azure-OpenAI-DPA zur Unterzeichnung (Microsoft Product Terms / DPA).

Microsoft Azure AI Language

Microsoft Corporation

HIGH Aktiv, DPA unterzeichnet

Dienstleistung: Erkennung und Maskierung personenbezogener Daten (NER PII), zweite Anonymisierungsebene vor der Übermittlung an die KI (Nachnamen, Adressen, Firmennamen). Fail-closed.
Umfang der Daten: Textfragmente, die zur Erkennung und Maskierung von PII an die KI übermittelt werden. Keine dauerhafte Speicherung.
Standort: EU. Sweden Central
DPA / formaler Status: Abgedeckt durch Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Document Intelligence

Microsoft Corporation

HIGH Aktiv, DPA unterzeichnet

Dienstleistung: OCR für Dokumente (Rechnungen, Verträge, Schreiben), Textextraktion zur weiteren Verarbeitung.
Umfang der Daten: Inhalt hochgeladener Falldokumente (Scans). Das OCR-Ergebnis wird in unserer Datenbank gespeichert.
Standort: EU. Sweden Central
DPA / formaler Status: Abgedeckt durch Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Maps

Microsoft Corporation

MEDIUM Aktiv, DPA unterzeichnet

Dienstleistung: Geokodierung und Adressvorschläge (countrySet=PL), Anzeige auf der Karte. Serverseitiger Schlüssel (Managed Identity).
Umfang der Daten: Zur Geokodierung übermittelte Adressen (Straße, Ort, Postleitzahl). Keine Personenkennungen.
Standort: EU (atlas.microsoft.com)
DPA / formaler Status: Abgedeckt durch Microsoft DPA (Azure Maps).

Geplant / bedingt

Stellen, die künftig nach Erfüllung der Bedingungen (DPA + 30 Tage Vorlaufzeit) eingebunden werden können.

Geplant

Microsoft Azure (PostgreSQL Flexible Server / Blob / Key Vault / Entra ID)

Migration der Datenbank, des Dateispeichers und der Anmeldung von Supabase nach Azure. Region Poland Central. Die Anwendungsschicht läuft bereits auf Azure; siehe „Aktiv“.

Teil der Azure Online Services Terms / des Data Protection Addendum (Microsoft).

Geplant

Microsoft Graph (Microsoft 365)

Versand und Abruf von E-Mails aus dem Organisationspostfach. Derzeit per Feature-Flag deaktiviert – ausgehende E-Mails werden über Azure Communication Services versendet.

Abgedeckt durch Microsoft DPA / Online Services Terms. Aktivierung nach Konfiguration der App Registration.

Geplant

Microsoft Azure Cache for Redis

Verteilter Rate-Limiter (Ersatz für Upstash), Region Poland Central, innerhalb der Microsoft-/EU-Grenzen.

Teil der Azure Online Services Terms / DPA.

Geplant

Autenti

Qualifizierte elektronische Vertragsunterzeichnung (kein entsprechendes Microsoft-Angebot). Bedingte Aktivierung, derzeit per Feature-Flag deaktiviert.

Erfordert ein unterzeichnetes DPA und eine Prüfung vor der Aktivierung.

Was KEIN Unterauftragsverarbeiter ist

Bewusst mit Begründung aus dem Verzeichnis ausgenommen.

Web Push (VAPID)

Self-hosted. Benachrichtigungen werden direkt von unserem Server an den Browser gesendet. Der Payload ist generisch, ohne Inhalte und ohne personenbezogene Daten.

Microsoft Entra ID

Identitätssystem für Administratoren (Insignis Polska). Verarbeitet keine Kundendaten von PGW im Sinne von Art. 28 DSGVO.

Fragen zur Datenverarbeitung?

Kontaktieren Sie den Verantwortlichen für die Datenverarbeitung, wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

iod@e-pgw.pl Datenschutzerklärung

Aktualisiert am 2026-09-14