Anlage zum AVV: weitere Auftragsverarbeiter

Diese Anlage führt die Empfänger vollständig auf; sie ist ohne weitere Seiten lesbar. Die Fassung steht oben und ist bei Vertragsschluss die vereinbarte.

Sie ist nach Rollen geteilt. Abschnitt A nennt die Auftragsverarbeiter nach Art. 28 DSGVO – für sie gilt dieser Vertrag. Abschnitt B nennt Empfänger, die insoweit eigener Verantwortlicher sind; für sie gilt er nicht, und das steht dort. Die allgemeine Übersicht „Dienstleister und Empfänger“ auf unserer Website nennt beide in einer Tabelle und ist keine Vertragsanlage.

Ein Wechsel oder eine Ergänzung wird mindestens 30 Tage vorher in Textform und auf der Website angekündigt. Sie können widersprechen; im Widerspruchsfall besteht ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung.

Wo „zu bestätigen“ steht, ist die Firmierung des Vertragspartners noch nicht aus dem Vertrag belegt, sondern die des üblichen europäischen Vertragspartners des Anbieters. Sie wird vor Vertragsschluss nachgetragen.

Diese Empfänger verarbeiten weisungsgebunden in unserem Auftrag. Für sie gilt diese Anlage, und für sie besteht ein Vertrag nach Art. 28 DSGVO.

• Zweck: Betrieb von Anwendung, Datenbank, Geheimnisverwaltung, Zeitsteuerung, Lastverteilung und TLS
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

• Zweck: Analysespiegel für eigene Abfragen über große Zeiträume; je Mandant zuschaltbar
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

• Zweck: Sprachmodell des Datenassistenten im Portal; erhält die Frage, Kennzahlen und, wo die Frage danach verlangt, einzelne Conversions und Journeys
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – europe-west3 (Frankfurt)
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

• Zweck: Postfach für Support-, Vertrags- und Betroffenenanfragen; enthält keine Messdaten, aber die Korrespondenz darüber
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: Datenregion Europa, per Richtlinie gesetzt am 18.09.2026; Ausnahmen für Logs und Cache sowie der Verlagerungsstatus sind gesondert zu belegen
• Vertragspartei: Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland
• Möglicher Zugriff von außerhalb der EU: Verwaltung und Support durch Konzerngesellschaften außerhalb der EU technisch möglich
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

• Zweck: Versand von System- und Benachrichtigungs-E-Mails, Newsletterversand und Annahme eingehender Supportmails
• Rolle: Auftragsverarbeiter (Art. 28 DSGVO)
• Ort der Verarbeitung: EU – Frankreich und Deutschland (OVH), Belgien (Google Cloud)
• Vertragspartei: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland – nach Brevos Bedingungen für Kunden mit Sitz in Deutschland; Muttergesellschaft Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich
• Möglicher Zugriff von außerhalb der EU: Kundendienst und Wartung durch Brevo-Konzerngesellschaften in Indien, den USA und Kanada; Content-Delivery-Netz und Web-Firewall (Cloudflare), Ticketsystem (Zendesk) und Auswertungen (Omni) durch Dienstleister mit Sitz in den USA
• Grundlage der Übermittlung: EU-Standardvertragsklauseln mit ergänzenden Maßnahmen; für die USA zusätzlich Angemessenheitsbeschluss EU–USA (Data Privacy Framework), für Kanada Angemessenheitsbeschluss

• Zweck: Abwicklung der Zahlungen: Rechnungsanschrift, Zahlungsmittel, Rechnungs- und Abonnementstatus. Keine Messdaten
• Rolle: Doppelrolle: Auftragsverarbeiter für die übergebenen Vertragsdaten, eigener Verantwortlicher für die Zahlungsabwicklung
• Ort der Verarbeitung: EU – Irland
• Vertragspartei: Stripe Payments Europe, Limited, Dublin, Irland; zusätzlich Stripe Technology Europe, Limited, c/o A & L Goodbody, IFSC, North Wall Quay, Dublin 1, D01 H104, Irland für regulierte Finanzdienstleistungen
• Möglicher Zugriff von außerhalb der EU: Konzerngesellschaften in den USA im Rahmen von Zahlungsabwicklung, Betrugsprävention und gesetzlichen Pflichten
• Grundlage der Übermittlung: EU-Standardvertragsklauseln zzgl. Angemessenheitsbeschluss EU–USA

Steht in beiden Abschnitten: Die Rolle hängt davon ab, welcher Teil der Verarbeitung gemeint ist. Der Eintrag oben nennt beide.

Sie erhalten Daten, folgen dabei aber eigenen gesetzlichen Pflichten und insoweit nicht unseren Weisungen. Für diesen Teil ist ein Auftragsverarbeitungsvertrag nicht das richtige Papier. Sie stehen trotzdem hier, weil eine Aufstellung, die nur die eine Hälfte nennt, den Eindruck erweckt, es gäbe keine andere.

• Stripe Payments Europe, Ltd.: Doppelrolle: Auftragsverarbeiter für die übergebenen Vertragsdaten, eigener Verantwortlicher für die Zahlungsabwicklung

Werbeplattformen sind keine Auftragsverarbeiter. Eine Übermittlung an sie findet nur statt, wenn der Mandant die Rückgabe von Conversions ausdrücklich einschaltet – und dann als eigenständige Verarbeitung in gemeinsamer oder eigener Verantwortlichkeit, je nach Plattform.

Für Analysezwecke im eigenen Haus setzen wir kein Werkzeug ein, das Daten unserer Kundinnen berührt.