Anlage zum AVV: weitere Auftragsverarbeiter

Diese Anlage führt die Empfänger vollständig auf; sie ist ohne weitere Seiten lesbar. Die Fassung steht oben und ist bei Vertragsschluss die vereinbarte.

Sie ist nach Rollen geteilt. Abschnitt A nennt die Auftragsverarbeiter nach Art. 28 DSGVO – für sie gilt dieser Vertrag. Abschnitt B nennt Empfänger, die insoweit eigener Verantwortlicher sind; für sie gilt er nicht, und das steht dort. Die allgemeine Übersicht „Dienstleister und Empfänger“ auf unserer Website nennt beide in einer Tabelle und ist keine Vertragsanlage.

Einen neuen oder ersetzten unmittelbaren Auftragsverarbeiter kündigen wir mindestens 30 Tage vor seinem Einsatz in Textform und auf der Website an; Änderungen weiterer Stufen teilen wir nach Abschnitt 7 des Vertrags mit. Sie können widersprechen; was dann gilt, regelt Abschnitt 7. Wie lange ein Anbieter vor einem neuen weiteren Auftragsverarbeiter Bescheid gibt, steht je Eintrag unten.

Diese Empfänger verarbeiten weisungsgebunden in unserem Auftrag. Für sie gilt diese Anlage, und für sie besteht ein Vertrag nach Art. 28 DSGVO.

• Zweck: Betrieb von Anwendung, Datenbank, Geheimnisverwaltung, Zeitsteuerung, Lastverteilung und TLS
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt); davon getrennt Verwaltungs- und Systemprotokolle der Cloud-Plattform in globalen Protokollbereichen des Anbieters, die sich nicht in eine Region legen lassen (bis zu 400 Tage; ein weiterer globaler Bereich mit sieben Tagen, in den die Protokolle der Anwendung nicht geschrieben werden)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Analysespiegel der Messdaten aller Mandanten derselben Umgebung, je Mandant getrennt; Berichte eines Mandanten rechnen daraus ab größeren Datenmengen oder einer Aufbewahrung über 180 Tage
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Sprachmodell des Datenassistenten im Portal; erhält die Frage, Kennzahlen und, wo die Frage danach verlangt, einzelne Conversions und Journeys
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Postfach für Support-, Vertrags- und Betroffenenanfragen; Versand der Systemmails, darunter Berichte und Hinweise mit Auftragsdaten im Text und als Anhang, mit Kopie unter „Gesendet“; Messdaten nur, soweit sie in dieser Korrespondenz oder in diesen Mails vorkommen
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: Datenregion Europa, per Richtlinie gesetzt am 18.09.2026; Ausnahmen für Logs und Cache sowie der Verlagerungsstatus sind gesondert zu belegen
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: Angemessenheitsbeschluss EU–USA (EU-US Data Privacy Framework) im Umfang der Zertifizierung des Empfängers; ergänzend und für nicht zertifizierte Gesellschaften EU-Standardvertragsklauseln. Eine Kopie der Garantien gibt es über privacy@metrunio.com
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Data Processing Amendment für Google Workspace, Ziffer 11.4 a)

• Zweck: Versand unseres Newsletters; übergangsweise Annahme eingehender Supportmails. System- und Supportmails versenden wir seit dem 01.10.2026 über Google Workspace
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – Frankreich und Deutschland (OVH), Belgien (Google Cloud)
• Vertragspartei: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland – nach Brevos Bedingungen für Kunden mit Sitz in Deutschland; Muttergesellschaft Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich
• Möglicher Zugriff von außerhalb der EU: Kundendienst und Wartung durch Brevo-Konzerngesellschaften in Indien, den USA und Kanada; Content-Delivery-Netz und Web-Firewall (Cloudflare), Ticketsystem (Zendesk) und Auswertungen (Omni) durch Dienstleister mit Sitz in den USA
• Grundlage der Übermittlung: EU-Standardvertragsklauseln mit ergänzenden Maßnahmen; für die USA zusätzlich Angemessenheitsbeschluss EU–USA (Data Privacy Framework), für Kanada Angemessenheitsbeschluss
• Umfang im Auftrag des Auftraggebers: Aktiv versenden wir über Brevo nur noch unseren Newsletter, als eigene Verarbeitung ohne Daten aus Ihrem Auftrag; Supportmails und Systemmails mit Messergebnissen, etwa Wochen- und Monatsberichte mit CSV-Anhang, laufen seit dem 01.10.2026 über Google Workspace. Im Auftrag unserer Kunden verarbeitet Brevo deshalb nur noch zweierlei: eingehende Supportmails, die übergangsweise zusätzlich über den Eingang bei Brevo angenommen werden, bis wir ihn abschalten, soweit darin Daten aus dem Auftrag stehen; und Kopien und Protokolle von Support- und Systemmails aus der Zeit vor der Umstellung, die bei Brevo noch vorhanden sein können. Auch zusammengefasste Kennzahlen darin können bei kleinen Fallzahlen Rückschlüsse auf einzelne Personen erlauben. Brevo entfällt aus dieser Anlage, wenn der Eingang abgeschaltet und die Löschung dieser Bestände bei Brevo abgeschlossen und belegt ist
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: vor dem Einsatz, ohne feste Frist (Datenschutzvereinbarung Ziffer 7.3). Deshalb gilt die Regel des AVV für Unterauftragnehmer ohne gesicherten Vorlauf: Ab Zugang einer Ankündigung schalten wir den Eingang für Supportmails bei Brevo ab, soweit er noch besteht, und löschen dort, was die Schnittstellen von Brevo erlauben

Sie erhalten Daten, folgen dabei aber eigenen gesetzlichen Pflichten und insoweit nicht unseren Weisungen. Für diesen Teil ist ein Auftragsverarbeitungsvertrag nicht das richtige Papier. Sie stehen trotzdem hier, weil eine Aufstellung, die nur die eine Hälfte nennt, den Eindruck erweckt, es gäbe keine andere.

Zurzeit keiner.

Werbeplattformen sind keine Auftragsverarbeiter. Eine Übermittlung an sie findet nur statt, wenn der Mandant die Rückgabe von Conversions ausdrücklich einschaltet – und dann als eigenständige Verarbeitung in gemeinsamer oder eigener Verantwortlichkeit, je nach Plattform.

Empfänger, die der Auftraggeber selbst bestimmt, etwa das Ziel eines Webhooks, ein Slack- oder Teams-Kanal, ein verbundenes KI-Werkzeug oder das CRM, an das seine Formulare senden, werden durch seine Weisung nicht unsere weiteren Auftragsverarbeiter.

Dienste, aus denen der Auftragnehmer auf Weisung des Auftraggebers mit dessen Zugangsdaten Kosten und Kennzahlen abruft, etwa Werbekonten, weitere Kostenquellen wie releva.nz, eine freigegebene Tabelle, E-Mail-Plattformen wie Klaviyo oder Brevo und die Google Search Console des Auftraggebers, sind Anbieter des Auftraggebers und werden dadurch nicht unsere weiteren Auftragsverarbeiter. Liest der Auftragnehmer mit einem Schlüssel des Auftraggebers dessen Konto bei Brevo, ist Brevo insoweit Anbieter des Auftraggebers; als unser Auftragsverarbeiter nach Abschnitt A ist Brevo nur in dem dort beschriebenen Umfang tätig.

Stripe wickelt allein unsere eigene Abrechnung mit Ihnen ab und erhält keine Daten aus der Verarbeitung in Ihrem Auftrag. Es steht deshalb nicht in dieser Anlage, sondern in der Übersicht „Dienstleister und Empfänger“ und in unserer Datenschutzerklärung.

Für Analysezwecke im eigenen Haus setzen wir kein Werkzeug ein, das Daten unserer Kundinnen berührt.