Shellfire est un service VPN exploité par Shellfire GmbH, dont le siège est à Schmitten, en Allemagne. Des serveurs fonctionnent dans plusieurs pays ; les utilisateurs peuvent choisir un serveur d'un État membre de l'UE. Selon la politique de confidentialité, aucune donnée personnelle n'est stockée sur les serveurs VPN eux-mêmes.
La politique désigne Shellfire GmbH comme responsable et indique que les transferts hors UE doivent respecter les garanties du RGPD, comme le Data Privacy Framework ou les clauses contractuelles types. Certains traitements échappent toutefois à ce cadre : les données de Google Analytics et de marketing vont à des serveurs de Google aux États-Unis, et les paiements peuvent être traités hors UE. Le site ne nomme pas les propriétaires de Shellfire GmbH, de sorte qu'une maison mère étrangère ne peut être confirmée. Le siège allemand et les engagements RGPD sont pertinents ; les services d'analyse américains méritent toutefois examen.