Shellfire is een VPN-dienst van Shellfire GmbH, een bedrijf met vestiging in Schmitten, Duitsland. De dienst beschikt over servers in meerdere landen; gebruikers kunnen een server in een EU-lidstaat kiezen, zodat de verwerking van hun gegevens binnen de EU blijft. Volgens het privacybeleid worden er geen persoonsgegevens op de VPN-servers zelf opgeslagen. De privacypagina verwijst door het hele document naar de AVG.
Het privacybeleid noemt Shellfire GmbH als verantwoordelijke en stelt dat doorgifte buiten de EU moet voldoen aan de AVG-waarborgen, zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen. Voor sommige verwerkingen geldt dat niet: Google Analytics- en marketinggegevens gaan naar servers van Google in de VS, en betalingsgegevens kunnen buiten de EU worden verwerkt, afhankelijk van de betaalprovider. De website vermeldt de eigenaren van Shellfire GmbH niet, dus een buitenlandse moedermaatschappij is niet te bevestigen. Voor een Europese organisatie zijn de Duitse vestiging en de AVG-toezeggingen relevant, maar het gebruik van Amerikaanse analysediensten en de keuze van betaalprovider verdienen aandacht.