Shellfire ist ein VPN-Dienst der Shellfire GmbH mit Sitz in Schmitten, Deutschland. Der Dienst betreibt Server in mehreren Ländern; Nutzer können einen Server in einem EU-Mitgliedstaat wählen, damit die Verarbeitung ihrer Daten innerhalb der EU bleibt. Laut Datenschutzerklärung werden auf den VPN-Servern selbst keine personenbezogenen Daten gespeichert. Die Datenschutzseite verweist durchgängig auf die DSGVO.
Die Datenschutzerklärung nennt die Shellfire GmbH als verantwortliche Stelle und hält fest, dass Übermittlungen außerhalb der EU die Garantien der DSGVO erfüllen müssen, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln. Für einzelne Verarbeitungen gilt das nicht: Daten von Google Analytics und Marketingdiensten gehen an Server von Google in den USA, und Zahlungsdaten können je nach Zahlungsdienstleister außerhalb der EU verarbeitet werden. Die Website nennt keine Eigentümer der Shellfire GmbH, sodass eine ausländische Muttergesellschaft nicht bestätigt werden kann. Für europäische Organisationen sind der deutsche Sitz und die DSGVO-Zusagen relevant; die Nutzung US-amerikanischer Analysedienste und die Wahl des Zahlungsdienstleisters verdienen Aufmerksamkeit.