Auftragsverarbeitung.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Anhang 1 zu den Allgemeinen Geschäftsbedingungen der REVERCE GmbH für verstag („AGB“) und gilt als deren Bestandteil. Er regelt die Verarbeitung personenbezogener Daten, die wir in Ihrem Auftrag verarbeiten. Begriffe, die in den AGB bestimmt sind, haben hier dieselbe Bedeutung, soweit sie hier nicht ausdrücklich abweichend bestimmt sind.

Wenn dieser AVV die Verarbeitung personenbezogener Daten anspricht, ist damit ausschließlich die Verarbeitung durch uns in Ihrem Auftrag und ausschließlich im Rahmen der Erbringung des Dienstes nach den AGB gemeint.

1. Gegenstand und Laufzeit

Wir stellen Ihnen verstag nach Maßgabe der AGB bereit. Dabei können personenbezogene Daten verarbeitet werden. Gegenstand dieses AVV ist die Verarbeitung derjenigen personenbezogenen Daten, die Sie oder die von Ihnen zugelassenen Nutzer in Ihren Arbeitsbereich einbringen oder dort erzeugen.

Dieser AVV läuft so lange wie der Vertrag über die Nutzung von verstag und endet mit ihm. Er gilt über die Beendigung hinaus fort, solange wir personenbezogene Daten aus Ihrem Arbeitsbereich noch vorhalten.

2. Begriffe

Zugelassene Nutzer sind Personen, denen Sie Zugang zu Ihrem Arbeitsbereich gewähren.

Dienst ist die nach den AGB erbrachte Leistung, insbesondere die Bereitstellung der Plattform verstag.

Leistungsbeschreibung ist die Gesamtheit der offiziellen Beschreibungen des Dienstes: die Dokumentation, die im Dienst selbst sichtbaren Hinweise und Abläufe sowie der Datenschutzhinweis.

Die Begriffe personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung, die Art. 4 DSGVO ihnen gibt.

3. Rollen der Parteien

Für die von diesem AVV erfasste Verarbeitung sind Sie Verantwortlicher und wir Auftragsverarbeiter. Erfasst sind die Inhalte Ihres Arbeitsbereichs: hochgeladene Bild- und Videodateien einschließlich der darin abgebildeten Personen, die Metadaten dieser Dateien, die daraus erzeugten Derivate, die Mitglieder-, Rollen- und Einladungsdaten des Arbeitsbereichs sowie dessen Prüf- und Protokolldaten.

Für einen abgegrenzten Teil der Daten sind wir dagegen selbst Verantwortlicher; dieser Teil ist nicht Gegenstand dieses AVV. Das betrifft die Stammdaten Ihres Kontos und der zugelassenen Nutzer, soweit wir sie zur Begründung, Durchführung und Abrechnung des Vertragsverhältnisses und zur Absicherung des Zugangs verarbeiten, sowie die Verbindungsmetadaten unseres technischen Betriebs. Zwecke und Rechtsgrundlagen dieser Verarbeitung stehen im Datenschutzhinweis.

Für Daten, hinsichtlich derer wir Verantwortlicher sind, können wir nicht weisungsgebunden sein; die Abgrenzung in Absatz 2 hält daher fest, worauf sich Ihr Weisungsrecht nach Ziffer 4 bezieht und worauf nicht.

4. Weisungen

Wir verarbeiten die personenbezogenen Daten ausschließlich auf Ihre dokumentierte Weisung, einschließlich der Durchsetzung der Bedingungen des zugrunde liegenden Vertrags. Das gilt nicht, soweit wir nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet sind; in diesem Fall teilen wir Ihnen diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Weisungsbindung gilt auch für eine Übermittlung in Drittländer.

Sie weisen uns hiermit an, die Daten entsprechend der Leistungsbeschreibung und entsprechend der Nutzung des Dienstes durch die zugelassenen Nutzer zu verarbeiten. Die Bedienhandlungen zugelassener Nutzer im Dienst sind Weisungen im Sinne dieses Absatzes.

Wir schulden keine Leistungen, die über den vereinbarten Leistungsumfang hinausgehen, es sei denn, die Weisung ist zur Umsetzung gesetzlicher Vorgaben erforderlich. Sie können uns jederzeit anweisen, die Verarbeitung nach diesem AVV einzustellen; soweit uns dies die Erbringung des Dienstes unmöglich macht und Ihre Weisung dafür ursächlich ist, gilt die Nichterbringung nicht als Pflichtverletzung.

Weisungen erteilen Sie ausschließlich im Einklang mit dem Datenschutzrecht. Halten wir eine Weisung für datenschutzrechtlich unzulässig, teilen wir Ihnen dies unverzüglich mit; bis zu Ihrer Bestätigung dürfen wir die Ausführung der betreffenden Weisung aussetzen.

Weisungen, die über Absatz 2 hinausgehen, bedürfen der Textform; mündlich erteilte Weisungen bestätigen Sie unverzüglich in Textform.

5. Vertraulichkeit und Sicherheit der Verarbeitung

Wir stellen sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass sie im Umgang mit personenbezogenen Daten unterwiesen sind. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die derzeit geltenden Maßnahmen ergeben sich aus Anlage 2. Sie prüfen, ob diese Maßnahmen für die Art der von Ihnen eingebrachten Daten aus Ihrer Sicht ausreichen. Wir dürfen die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau insgesamt nicht unterschritten wird.

6. Rechte der betroffenen Personen

Wir unterstützen Sie mit angemessenen technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten. Soweit der Dienst hierfür Funktionen bereitstellt — Auskunft über die gespeicherten Inhalte, Berichtigung, Export und Löschung —, erfüllen wir diese Pflicht durch deren Bereitstellung.

Wendet sich eine betroffene Person unmittelbar an uns, beantworten wir den Antrag nicht selbst, sondern leiten ihn unverzüglich an Sie weiter.

7. Unterauftragnehmer

Wir setzen weitere Auftragsverarbeiter („Unterauftragnehmer“) nur mit Ihrer Genehmigung ein. Die genehmigten Unterauftragnehmer ergeben sich aus Anlage 3.

Sie erteilen uns hiermit die allgemeine Genehmigung zum Einsatz weiterer Unterauftragnehmer. Über jede beabsichtigte Änderung informieren wir Sie durch Aktualisierung der Anlage 3. Die Aktualisierung erfolgt, bevor der neue Unterauftragnehmer mit der Verarbeitung beginnt, und die Liste trägt hierfür ein eigenes Standdatum. Sie können dem Einsatz eines neuen Unterauftragnehmers aus konkreten datenschutzrechtlichen Gründen innerhalb von 14 Tagen ab diesem Standdatum widersprechen.

Im Fall eines Widerspruchs bemühen wir uns in wirtschaftlich zumutbarem Umfang um eine Lösung ohne den betreffenden Unterauftragnehmer. Kommt eine Einigung nicht zustande, dürfen wir den Unterauftragnehmer einsetzen; Sie dürfen den Vertrag über die Nutzung des Dienstes in diesem Fall außerordentlich kündigen.

Wir erlegen dem Unterauftragnehmer Datenschutzpflichten auf, die den Pflichten aus diesem AVV entsprechen (Art. 28 Abs. 4 DSGVO). Wir wählen Unterauftragnehmer sorgfältig aus und haben deren Handeln und Unterlassen wie eigenes zu vertreten.

Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, die nicht bestimmungsgemäß Zugang zu den Daten Ihres Arbeitsbereichs erhalten, etwa Telekommunikations- oder Wartungsleistungen.

8. Unterstützung und Kontrollrechte

Wir unterstützen Sie auf Anfrage in angemessenem Umfang bei Ihren Pflichten nach Art. 32 bis 36 DSGVO sowie bei der Dokumentation der Einhaltung des Datenschutzrechts und deren Überprüfung, soweit die Verarbeitung nach diesem AVV betroffen ist. Das umfasst insbesondere die Unterrichtung über uns bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die Unterstützung bei einer Datenschutz-Folgenabschätzung und bei einer erforderlichen Konsultation der Aufsichtsbehörde. In der Regel erfüllen wir diese Pflicht durch Bereitstellung der für den Dienst allgemein verfügbaren Unterlagen.

Zur Umsetzung von Absatz 1 dürfen Sie Überprüfungen bei uns durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, soweit dies vernünftigerweise erforderlich ist. Solche Überprüfungen erfolgen vorrangig durch Prüfung von Unterlagen. Findet eine Prüfung vor Ort statt, nehmen Sie auf unsere betrieblichen Belange und die der betroffenen Unterauftragnehmer angemessen Rücksicht; die Prüfung beschränkt sich auf das erforderliche Maß, erfolgt außer in dringenden Fällen nach angemessener Vorankündigung — in der Regel mindestens vier Wochen — und innerhalb üblicher Geschäftszeiten, und die Vertraulichkeit der Daten bei uns und unseren Unterauftragnehmern bleibt gewahrt.

Sie üben die vorgenannten Rechte verhältnismäßig aus.

9. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO bekannt geworden ist, die nach diesem AVV verarbeitete Daten betrifft.

Die Mitteilung enthält die Angaben, die Sie für Ihre Meldung nach Art. 33 Abs. 3 DSGVO benötigen, insbesondere: die Betroffenheit der in Ihrem Auftrag verarbeiteten Daten, die betroffenen Datenarten, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die Art des Zugriffs auf die Daten, die wahrscheinlichen Folgen der Verletzung, soweit wir sie einschätzen können, sowie die von uns ergriffenen und vorgeschlagenen Abhilfemaßnahmen. Angaben, die zum Zeitpunkt der ersten Meldung noch nicht vorliegen, reichen wir nach.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen Ihnen als Verantwortlichem. Wir treffen die uns zumutbaren Maßnahmen zur Eindämmung und dokumentieren den Vorfall.

10. Rückgabe und Löschung

Nach Beendigung der Verarbeitung stellen wir Ihnen die in Ihrem Auftrag verarbeiteten personenbezogenen Daten auf Anforderung in einem gängigen Format zum Export bereit.

Anschließend löschen wir die Daten einschließlich vorhandener Kopien nach Maßgabe der in der Leistungsbeschreibung genannten Fristen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Fällt ein Arbeitsbereich in einen Tarif mit engerer Aufbewahrungsgrenze zurück, beträgt diese Frist 30 Tage ab der Rückstufung; danach werden die betroffenen Originale und Derivate endgültig gelöscht und können nicht wiederhergestellt werden.

Die Herkunfts- und Audit-Datensätze Ihres Arbeitsbereichs führen wir abweichend von Absatz 2 auch nach der Löschung der zugehörigen Binärdateien als Nachweis fort: Die fortbestehende Prüfhistorie ist Teil der vereinbarten Leistung (Ziffer 7 der AGB), und Sie weisen uns hiermit im Sinne der Ziffer 4 an, sie entsprechend zu führen. Für die Zeit nach Beendigung des Vertrags können Sie diese Weisung widerrufen; in diesem Fall löschen oder anonymisieren wir auch diese Datensätze, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Fordern Sie die Bereitstellung nicht rechtzeitig — spätestens bis zum Ablauf der jeweils maßgeblichen Frist nach Absatz 2 — an, sind wir nicht verpflichtet, die Daten länger vorzuhalten.

11. Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union oder im Europäischen Wirtschaftsraum statt, soweit Anlage 3 nichts anderes ausweist.

Soweit ein in Anlage 3 genannter Unterauftragnehmer personenbezogene Daten in einem Drittland ohne Angemessenheitsbeschluss verarbeitet, stützen wir die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO, insbesondere auf die Standardvertragsklauseln der Europäischen Kommission, und treffen die erforderlichen ergänzenden Maßnahmen. Anlage 3 weist je Unterauftragnehmer aus, worauf die Übermittlung gestützt ist.

12. Vergütung

Die Erfüllung der Pflichten aus diesem AVV ist mit dem Entgelt für den Dienst abgegolten. Verursacht die Umsetzung dieses AVV aufgrund Ihrer besonderen Situation einen ungewöhnlich hohen Aufwand, dürfen wir diesen Aufwand, soweit gesetzlich zulässig, zu angemessenen Sätzen abrechnen. Wir kündigen einen solchen Aufwand vorher an.

13. Haftung

Es gilt die Haftungsregelung der AGB. Art. 82 DSGVO bleibt unberührt.

14. Wirksamkeit und Verhältnis zu den AGB

Dieser AVV ist Anhang 1 zu den AGB und wird mit deren Einbeziehung vereinbart. Der nach Art. 28 Abs. 9 DSGVO erforderlichen Schriftform genügt auch ein elektronisches Format.

Auf Ihre Anfrage schließen wir diesen AVV zusätzlich gesondert in Textform ab und stellen Ihnen eine von uns unterzeichnete Fassung bereit. Wenden Sie sich hierzu an hello@verstag.io.

Für die von diesem AVV erfasste Verarbeitung geht er den AGB vor, soweit beide sich widersprechen. Im Übrigen gelten die AGB, einschließlich ihrer Regelungen zu anwendbarem Recht und Gerichtsstand. Anlage 3 wird nach Maßgabe der Ziffer 7 aktualisiert; im Übrigen richten sich Änderungen dieses AVV nach den AGB.

Anlage 1 — Gegenstand, Art und Umfang der Verarbeitung

Zweck

Bereitstellung der Plattform verstag: Speicherung und Verwaltung hochgeladener Bild- und Videodateien, Prüfung eingebetteter C2PA-Herkunftsinformationen, Ableitung und Signierung kanalspezifischer Fassungen, Führung eines Prüf- und Protokollverlaufs sowie Zustellung der zugehörigen transaktionalen E-Mails.

Art der Verarbeitung

Erheben, Speichern, Auslesen, Verändern (Zuschnitt, Format, Kennzeichnung), Erzeugen abgeleiteter Dateien, Signieren, Bereitstellen an die zugelassenen Nutzer, Protokollieren und Löschen. Die Verarbeitung erfolgt vollständig automatisiert.

Dauer

Für die Laufzeit des Vertrags über die Nutzung von verstag, zuzüglich der Fristen nach Ziffer 10. Dateien, die ausschließlich zur Prüfung hochgeladen und nicht in die Bibliothek übernommen werden, werden spätestens 12 Stunden nach dem Hochladen automatisch gelöscht.

Kategorien betroffener Personen

• Ihre Beschäftigten und sonstigen zugelassenen Nutzer,
• Personen, die Sie in einen Arbeitsbereich einladen,
• Personen, die in hochgeladenen Bild- und Videodateien abgebildet oder erkennbar sind,
• Personen, die in den Metadaten dieser Dateien benannt sind, insbesondere Urheber, Bearbeiter und Signierende aus eingebetteten C2PA-Manifesten sowie aus EXIF- und XMP-Feldern.

Kategorien personenbezogener Daten

• Mitgliedschaftsdaten der zugelassenen Nutzer im Arbeitsbereich: E-Mail-Adresse, Anzeigename, Rolle sowie Status der Mitgliedschaft.
• Einladungsdaten: E-Mail-Adresse der eingeladenen Person, Status und Ablauf der Einladung.
• Inhaltsdaten: die hochgeladenen Bild- und Videodateien selbst, einschließlich der darin abgebildeten Personen, sowie die daraus erzeugten Derivate.
• Datei- und Herkunftsmetadaten: Dateiname, Typ, Größe und Abmessungen sowie die in der Datei eingebetteten EXIF-, XMP- und C2PA-Angaben. Diese können Urheber- und Bearbeitungsangaben, Zeitstempel, Signatur- und Zertifikatsdetails, Angaben zum Quelltyp des Materials und — je nach Aufnahmegerät — Orts- und Gerätedaten enthalten.
• Derivat- und Signaturdaten: Derivat-Spezifikationen (Zuschnitt, Format, Kennzeichnungsoptionen), die gerenderten Ausgabedateien und die daran angebrachten C2PA-Signaturmetadaten.
• Protokolldaten des Prüf- und Auditverlaufs: wer wann welche Signierung, Prüfung, Änderung oder Herunterladung ausgelöst hat, jeweils mit dem geltenden Richtlinienstand.
• Sonstige Kundeneingaben: Freitexteingaben im Arbeitsbereich, etwa Ordnernamen und Bezeichnungen.

Besondere Kategorien personenbezogener Daten

Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags. Bildmaterial kann solche Daten jedoch faktisch offenbaren. Deshalb gilt, was der Dienst tatsächlich tut: Wir führen keine Gesichtserkennung durch, keine biometrische Identifizierung und keine inhaltliche Auswertung des Bild- oder Videomaterials. Die Verarbeitung beschränkt sich auf technische Vorgänge — Herkunftsprüfung, Ableitung, Signierung. Eine Sichtung durch unsere Mitarbeitenden findet im Regelbetrieb nicht statt, und eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.

Soweit Sie Material einbringen, dessen Verarbeitung nach Art. 9 DSGVO besondere Voraussetzungen erfordert, verantworten Sie deren Vorliegen.

Anlage 2 — Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind die derzeit umgesetzten. Wir dürfen sie nach Ziffer 5 Absatz 2 anpassen, solange das Schutzniveau insgesamt nicht unterschritten wird.

Verschlüsselung und Schlüsselverwahrung

• Der Zugriff auf den Dienst erfolgt ausschließlich transportverschlüsselt über TLS; HTTP Strict Transport Security ist einschließlich der Subdomains gesetzt.
• Der private Signaturschlüssel wird nicht-extrahierbar in einem Hardware-Sicherheitsmodul verwahrt und verlässt dieses zu keinem Zeitpunkt. Zum Signieren wird ausschließlich ein Hashwert übergeben, niemals der Dateiinhalt. Für den Zeitstempeldienst gilt dasselbe.
• Zugangsgeheimnisse werden nicht im Klartext gespeichert; die Authentifizierung übernimmt der in Anlage 3 hierfür ausgewiesene Dienst.

Vertraulichkeit und Zugriffskontrolle

• Mandantentrennung auf Datenbankebene. Jeder Arbeitsbereich ist durch zeilenbasierte Sicherheitsregeln (Row Level Security) getrennt; Zugriff auf Mandantendaten ist nur über einen Pfad möglich, der den Mandantenkontext der Transaktion setzt. Zugriffe über Mandantengrenzen hinweg sind auf einen eigens ausgewiesenen, im Quelltext einzeln nachweisbaren Pfad beschränkt.
• Rollenbasierte Berechtigungen innerhalb des Arbeitsbereichs steuern, wer Inhalte einbringen, ableiten, signieren, exportieren und löschen darf.
• Zwei-Faktor-Authentisierung. Wer einen zweiten Faktor hinterlegt hat, muss ihn einlösen; ein Arbeitsbereich kann den zweiten Faktor für alle Mitglieder verbindlich vorschreiben. Beides wird serverseitig auf der Ebene der einzelnen Aktion durchgesetzt, nicht in der Oberfläche.
• Datenbankrollen nach dem Grundsatz der geringsten Rechte; Rechte werden je Tabelle einzeln vergeben.
• Begrenzung der Anfragerate auf allen Flächen, die Nachrichten versenden oder Zugangsdaten prüfen, gekoppelt an Aufrufer und Ziel.
• Bereinigung der Fehlerberichte vor der Übermittlung. Zugangsgeheimnisse, Sitzungs-Cookies, Einladungs- und Rücksetz-Token sowie signierte Speicheradressen werden entfernt, bevor ein Bericht den Dienst zur Betriebsüberwachung erreicht.

Integrität

• Ausschließlich schreibend geführter Protokollverlauf. Signier-, Prüf-, Änderungs- und Downloadereignisse werden festgehalten; das nachträgliche Ändern und Löschen dieser Einträge ist auf Datenbankebene entzogen.
• Ergebnisse externer Verarbeitungsschritte werden schemavalidiert übernommen; eine nicht validierbare Antwort wird verworfen statt gespeichert.
• Sicherheitsrelevante Antwortkopfzeilen auf der gesamten Fläche, unter anderem Content Security Policy, Framing-Schutz und Referrer-Policy.

Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

• Tägliche Sicherung der Datenbank durch den Datenbankdienst mit sieben Tagen Vorhaltung.
• Gesicherte Ablage der Originale und der signierten Derivate in einem getrennten Sicherungsziel. Ablauf, Zuständigkeit und Wiederherstellung sind in einem Runbook beschrieben.
• Trennung von Produktiv- und Entwicklungsumgebung.

Verfahren zur regelmäßigen Überprüfung

• Jede Änderung durchläuft vor Übernahme eine automatisierte Prüfkette: Typprüfung, Testlauf, statische Analyse sowie Schwachstellenprüfung der Abhängigkeiten und der Auslieferungsabbilder.
• Aufbewahrungs- und Löschläufe erfolgen automatisiert und nachvollziehbar protokolliert.

Auftrags- und Zutrittskontrolle

• Unterauftragnehmer werden nach Ziffer 7 ausgewählt und nach Art. 28 Abs. 4 DSGVO verpflichtet.
• Der Betrieb erfolgt in Rechenzentren der in Anlage 3 genannten Anbieter. Die Maßnahmen zur physischen Sicherheit und zur Zutrittskontrolle verantworten diese im Rahmen ihrer eigenen Zertifizierungen.
• Die Maßnahmen für Abonnementverwaltung, Zahlung und Rechnungsstellung setzt der hierfür in Anlage 3 ausgewiesene Dienstleister eigenständig und auf entsprechend erhöhtem Sicherheitsniveau um; diese Verarbeitung liegt nach Ziffer 3 Absatz 2 in unserem eigenen Verantwortungsbereich und ist hier der Vollständigkeit halber genannt.

Anlage 3 — Genehmigte Unterauftragnehmer

Die folgenden Unterauftragnehmer sind nach Ziffer 7 genehmigt. Die beiden zuletzt genannten erhalten ausschließlich Hashwerte; sie sind der Vollständigkeit halber aufgeführt, weil ein Leser, der wissen will, wohin seine Datei geht, den ganzen Weg erfahren soll und nicht nur den rechtlich zwingenden Ausschnitt.

Verarbeitungsort und Drittlandgarantie beantworten zwei verschiedene Fragen: wo die Daten liegen und wer sie erreichen kann. Mehrere der genannten Anbieter verarbeiten in der Europäischen Union, gehören aber einem Unternehmen mit Sitz in einem Drittland an, das im Rahmen von Betrieb und Unterstützung Zugriff nehmen kann. Für diese Fälle ist die Garantie auch dann ausgewiesen, wenn der Verarbeitungsort in der Union liegt.

• Supabase — Authentifizierung und Anwendungsdatenbank. Sitz: Supabase, Inc., San Francisco, USA. Verarbeitungsort: Deutschland (Region eu-central-1, Frankfurt). Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission.
• Hetzner — Server-Hosting und Objektspeicher für hochgeladene Dateien und Derivate. Sitz: Hetzner Online GmbH, Gunzenhausen, Deutschland. Verarbeitungsort: Deutschland und Finnland (Rechenzentren Falkenstein, Nürnberg und Helsinki).
• Cloudfleet — Verwaltete Kubernetes-Steuerungsebene für den Betrieb der Server. Sitz: Cloudfleet GmbH, Berlin, Deutschland. Verarbeitungsort: Deutschland (Steuerungsebene in der EU-Region, Frankfurt). Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission.
• Resend — Zustellung transaktionaler E-Mails, ohne Öffnungs- und Klickverfolgung. Sitz: Resend, Inc., Delaware, USA. Verarbeitungsort: Irland (Region eu-west-1). Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission.
• Stripe — Zahlungsabwicklung, Abonnementverwaltung und Rechnungsstellung. Sitz: Stripe Payments Europe, Limited, Dublin, Irland. Verarbeitungsort: Europäische Union, mit Übermittlung an Stripe, Inc. (USA). Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission. Tätig in dem Bereich, in dem wir selbst Verantwortliche sind (Ziffer 3 Absatz 2 des AVV); der Vollständigkeit halber aufgeführt.
• Bugsink — Fehlerberichte und Betriebsüberwachung. Sitz: Bugsink B.V., Utrecht, Niederlande. Verarbeitungsort: Europäische Union (Infrastruktur: Hetzner).
• Google Cloud KMS — Verwahrung des Signaturschlüssels im Hardware-Sicherheitsmodul. Sitz: Google Cloud EMEA Limited, Dublin, Irland. Verarbeitungsort: Deutschland (Region europe-west3, Frankfurt). Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission. Erhält ausschließlich Hashwerte, niemals Dateiinhalte.
• SSL.com — Qualifizierter Zeitstempeldienst nach RFC 3161. Sitz: SSL Corp, Houston, Texas, USA. Verarbeitungsort: USA. Drittlandgarantie: Standardvertragsklauseln der Europäischen Kommission. Erhält ausschließlich Hashwerte, niemals Dateiinhalte.

Stand der Liste: 16. September 2026.