Anlage zum AVV: weitere Auftragsverarbeiter

Diese Anlage führt die Empfänger vollständig auf; sie ist ohne weitere Seiten lesbar. Die Fassung steht oben und ist bei Vertragsschluss die vereinbarte.

Sie ist nach Rollen geteilt. Abschnitt A nennt die Auftragsverarbeiter nach Art. 28 DSGVO – für sie gilt dieser Vertrag. Abschnitt B nennt Empfänger, die insoweit eigener Verantwortlicher sind; für sie gilt er nicht, und das steht dort. Die allgemeine Übersicht „Dienstleister und Empfänger“ auf unserer Website nennt beide in einer Tabelle und ist keine Vertragsanlage.

Einen neuen oder ersetzten unmittelbaren Auftragsverarbeiter kündigen wir mindestens 30 Tage vor seinem Einsatz in Textform und auf der Website an; Änderungen weiterer Stufen teilen wir nach Abschnitt 7 des Vertrags mit. Sie können widersprechen; was dann gilt, regelt Abschnitt 7. Wie lange ein Anbieter vor einem neuen weiteren Auftragsverarbeiter Bescheid gibt, steht je Eintrag unten.

Diese Empfänger verarbeiten weisungsgebunden in unserem Auftrag. Für sie gilt diese Anlage, und für sie besteht ein Vertrag nach Art. 28 DSGVO.

• Zweck: Betrieb von Anwendung, Datenbank, Geheimnisverwaltung, Zeitsteuerung, Lastverteilung und TLS
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Analysespiegel für eigene Abfragen über große Zeiträume; je Mandant zuschaltbar
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Sprachmodell des Datenassistenten im Portal; erhält die Frage, Kennzahlen und, wo die Frage danach verlangt, einzelne Conversions und Journeys
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Cloud Data Processing Addendum, Ziffer 11.4 a)

• Zweck: Postfach für Support-, Vertrags- und Betroffenenanfragen; Messdaten nur, soweit sie in dieser Korrespondenz vorkommen
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: Datenregion Europa, per Richtlinie gesetzt am 18.09.2026; Ausnahmen für Logs und Cache sowie der Verlagerungsstatus sind gesondert zu belegen
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: mindestens 30 Tage, bevor ein neuer weiterer Auftragsverarbeiter Daten verarbeitet (Data Processing Amendment für Google Workspace, Ziffer 11.4 a)

• Zweck: Versand unseres Newsletters; übergangsweise Annahme eingehender Supportmails. System- und Supportmails versenden wir seit dem 01.10.2026 über Google Workspace
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – Frankreich und Deutschland (OVH), Belgien (Google Cloud)
• Vertragspartei: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland – nach Brevos Bedingungen für Kunden mit Sitz in Deutschland; Muttergesellschaft Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich
• Möglicher Zugriff von außerhalb der EU: Kundendienst und Wartung durch Brevo-Konzerngesellschaften in Indien, den USA und Kanada; Content-Delivery-Netz und Web-Firewall (Cloudflare), Ticketsystem (Zendesk) und Auswertungen (Omni) durch Dienstleister mit Sitz in den USA
• Grundlage der Übermittlung: EU-Standardvertragsklauseln mit ergänzenden Maßnahmen; für die USA zusätzlich Angemessenheitsbeschluss EU–USA (Data Privacy Framework), für Kanada Angemessenheitsbeschluss
• Umfang im Auftrag des Auftraggebers: Aktiv versenden wir über Brevo nur noch unseren Newsletter, als eigene Verarbeitung ohne Daten aus Ihrem Auftrag; Supportmails und Systemmails mit Messergebnissen, etwa Wochen- und Monatsberichte mit CSV-Anhang, laufen seit dem 01.10.2026 über Google Workspace. Im Auftrag unserer Kunden verarbeitet Brevo deshalb nur noch zweierlei: eingehende Supportmails, die übergangsweise zusätzlich über den Eingang bei Brevo angenommen werden, bis wir ihn abschalten, soweit darin Daten aus dem Auftrag stehen; und Kopien und Protokolle von Support- und Systemmails aus der Zeit vor der Umstellung, die bei Brevo noch vorhanden sein können. Auch zusammengefasste Kennzahlen darin können bei kleinen Fallzahlen Rückschlüsse auf einzelne Personen erlauben. Brevo entfällt aus dieser Anlage, wenn der Eingang abgeschaltet und die Löschung dieser Bestände bei Brevo abgeschlossen und belegt ist
• Vorlauf bei neuen weiteren Auftragsverarbeitern laut Anbieter: vor dem Einsatz, ohne feste Frist (Datenschutzvereinbarung Ziffer 7.3). Deshalb gilt die Regel des AVV für Unterauftragnehmer ohne gesicherten Vorlauf: Ab Zugang einer Ankündigung schalten wir den Eingang für Supportmails bei Brevo ab, soweit er noch besteht, und löschen dort, was die Schnittstellen von Brevo erlauben

Sie erhalten Daten, folgen dabei aber eigenen gesetzlichen Pflichten und insoweit nicht unseren Weisungen. Für diesen Teil ist ein Auftragsverarbeitungsvertrag nicht das richtige Papier. Sie stehen trotzdem hier, weil eine Aufstellung, die nur die eine Hälfte nennt, den Eindruck erweckt, es gäbe keine andere.

Zurzeit keiner.

Werbeplattformen sind keine Auftragsverarbeiter. Eine Übermittlung an sie findet nur statt, wenn der Mandant die Rückgabe von Conversions ausdrücklich einschaltet – und dann als eigenständige Verarbeitung in gemeinsamer oder eigener Verantwortlichkeit, je nach Plattform.

Empfänger, die der Auftraggeber selbst bestimmt, etwa das Ziel eines Webhooks, ein Slack- oder Teams-Kanal, ein verbundenes KI-Werkzeug oder das CRM, an das seine Formulare senden, werden durch seine Weisung nicht unsere weiteren Auftragsverarbeiter.

Stripe wickelt allein unsere eigene Abrechnung mit Ihnen ab und erhält keine Daten aus der Verarbeitung in Ihrem Auftrag. Es steht deshalb nicht in dieser Anlage, sondern in der Übersicht „Dienstleister und Empfänger“ und in unserer Datenschutzerklärung.

Für Analysezwecke im eigenen Haus setzen wir kein Werkzeug ein, das Daten unserer Kundinnen berührt.