Anlage zum AVV: weitere Auftragsverarbeiter

Diese Anlage führt die Empfänger vollständig auf; sie ist ohne weitere Seiten lesbar. Die Fassung steht oben und ist bei Vertragsschluss die vereinbarte.

Sie ist nach Rollen geteilt. Abschnitt A nennt die Auftragsverarbeiter nach Art. 28 DSGVO – für sie gilt dieser Vertrag. Abschnitt B nennt Empfänger, die insoweit eigener Verantwortlicher sind; für sie gilt er nicht, und das steht dort. Die allgemeine Übersicht „Dienstleister und Empfänger“ auf unserer Website nennt beide in einer Tabelle und ist keine Vertragsanlage.

Einen neuen oder ersetzten unmittelbaren Auftragsverarbeiter kündigen wir mindestens 30 Tage vor seinem Einsatz in Textform und auf der Website an; Änderungen weiterer Stufen teilen wir nach Abschnitt 7 des Vertrags mit. Sie können widersprechen; was dann gilt, regelt Abschnitt 7. Wie lange ein Anbieter vor einem neuen weiteren Auftragsverarbeiter Bescheid gibt, steht je Eintrag unten.

Diese Empfänger verarbeiten weisungsgebunden in unserem Auftrag. Für sie gilt diese Anlage, und für sie besteht ein Vertrag nach Art. 28 DSGVO.

• Zweck: Betrieb von Anwendung, Datenbank, Geheimnisverwaltung, Zeitsteuerung, Lastverteilung und TLS
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Analysespiegel für eigene Abfragen über große Zeiträume; je Mandant zuschaltbar
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Sprachmodell des Datenassistenten im Portal; erhält die Frage, Kennzahlen und, wo die Frage danach verlangt, einzelne Conversions und Journeys
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Postfach für Support-, Vertrags- und Betroffenenanfragen; Messdaten nur, soweit sie in dieser Korrespondenz vorkommen
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: Datenregion Europa, per Richtlinie gesetzt am 18.09.2026; Ausnahmen für Logs und Cache sowie der Verlagerungsstatus sind gesondert zu belegen
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Data Processing Amendment für Google Workspace, Ziffer 11.4 a)

• Zweck: Versand von System- und Benachrichtigungs-E-Mails, Newsletterversand und Annahme eingehender Supportmails
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – Frankreich und Deutschland (OVH), Belgien (Google Cloud)
• Vertragspartei: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland – nach Brevos Bedingungen für Kunden mit Sitz in Deutschland; Muttergesellschaft Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich
• Möglicher Zugriff von außerhalb der EU: Kundendienst und Wartung durch Brevo-Konzerngesellschaften in Indien, den USA und Kanada; Content-Delivery-Netz und Web-Firewall (Cloudflare), Ticketsystem (Zendesk) und Auswertungen (Omni) durch Dienstleister mit Sitz in den USA
• Grundlage der Übermittlung: EU-Standardvertragsklauseln mit ergänzenden Maßnahmen; für die USA zusätzlich Angemessenheitsbeschluss EU–USA (Data Privacy Framework), für Kanada Angemessenheitsbeschluss
• Umfang im Auftrag des Auftraggebers: Im Auftrag unserer Kunden Supportmails, soweit darin Daten aus dem Auftrag stehen, sowie Systemmails mit Messergebnissen, insbesondere Wochen- und Monatsberichte mit Kennzahlen und CSV-Anhang; auch zusammengefasste Kennzahlen können bei kleinen Fallzahlen Rückschlüsse auf einzelne Personen erlauben. Das gilt, bis Supportmails und diese Systemmails über Google Workspace versandt werden und tatsächlich keine Daten aus dem Auftrag mehr zu Brevo gelangen; erst dann entfällt Brevo aus dieser Anlage. Den Newsletter und Systemmails ohne Messergebnisse versenden wir über Brevo als eigene Verarbeitung
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: vor dem Einsatz, ohne feste Frist (Datenschutzvereinbarung Ziffer 7.3). Deshalb gilt die Regel des AVV für Unterauftragnehmer ohne gesicherten Vorlauf: Ab Zugang einer Ankündigung laufen Supportmails über Google Workspace, und Systemmails mit Messergebnissen werden über Google Workspace versandt oder bis dahin ausgesetzt

• Zweck: Abwicklung der Zahlungen: Rechnungsanschrift, Zahlungsmittel, Rechnungs- und Abonnementstatus. Keine Messdaten
• Rolle: Doppelrolle: Auftragsverarbeiter für die übergebenen Vertragsdaten, eigener Verantwortlicher für die Zahlungsabwicklung
• Ort der Verarbeitung: EU – Irland
• Vertragspartei: Stripe Payments Europe, Limited, Dublin, Irland; zusätzlich Stripe Technology Europe, Limited, c/o A & L Goodbody, IFSC, North Wall Quay, Dublin 1, D01 H104, Irland für regulierte Finanzdienstleistungen
• Möglicher Zugriff von außerhalb der EU: Konzerngesellschaften in den USA im Rahmen von Zahlungsabwicklung, Betrugsprävention und gesetzlichen Pflichten
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

Steht in beiden Abschnitten: Die Rolle hängt davon ab, welcher Teil der Verarbeitung gemeint ist. Der Eintrag oben nennt beide.

Sie erhalten Daten, folgen dabei aber eigenen gesetzlichen Pflichten und insoweit nicht unseren Weisungen. Für diesen Teil ist ein Auftragsverarbeitungsvertrag nicht das richtige Papier. Sie stehen trotzdem hier, weil eine Aufstellung, die nur die eine Hälfte nennt, den Eindruck erweckt, es gäbe keine andere.

• Stripe Payments Europe, Ltd.: Doppelrolle: Auftragsverarbeiter für die übergebenen Vertragsdaten, eigener Verantwortlicher für die Zahlungsabwicklung

Werbeplattformen sind keine Auftragsverarbeiter. Eine Übermittlung an sie findet nur statt, wenn der Mandant die Rückgabe von Conversions ausdrücklich einschaltet – und dann als eigenständige Verarbeitung in gemeinsamer oder eigener Verantwortlichkeit, je nach Plattform.

Für Analysezwecke im eigenen Haus setzen wir kein Werkzeug ein, das Daten unserer Kundinnen berührt.