Sub-processors
Annex 3 to the DPA — sub-processors and third-country links
1. General notes
(1) Der Auftragsverarbeiter setzt zur Erbringung der vertraglichen Leistungen Unterauftragsverarbeiter ein. (2) Die nachstehende Liste benennt die zum Zeitpunkt des Vertragsschlusses vorgesehenen Unterauftragsverarbeiter, ihre Funktion sowie den maßgeblichen Verarbeitungsort bzw. den relevanten Drittlandbezug. (3) Soweit einzelne Dienste nicht vom Verantwortlichen genutzt werden oder nicht Gegenstand des konkret gebuchten Leistungsumfangs sind, findet die jeweilige Unterauftragsverarbeitung insoweit nicht statt. (4) Maßgeblich für die Zulässigkeit der Einschaltung von Unterauftragsverarbeitern sind ergänzend die Regelungen des AVV.
2. Sub-processors in use
| Provider | Function / Service | Processing location / Region | Third-country link |
|---|---|---|---|
| Amazon Web Services EMEA SARL / verbundene AWS-Gesellschaften | Cloud-Infrastruktur, Hosting, Datenbank-, Speicher-, Netzwerk- und Betriebsdienste | Europäische Union, insbesondere EU-Regionen nach Leistungsbeschreibung | Ein Drittlandbezug kann nicht in jedem Fall ausgeschlossen werden; maßgeblich sind die jeweiligen Vertragsunterlagen und ggf. SCC |
| Microsoft Ireland Operations Limited / verbundene Microsoft-Gesellschaften | Soweit genutzt: KI-/Cloud-Dienste, produktbezogene Infrastruktur- oder Integrationsleistungen | Europäische Union | Je nach Dienst und Supportkonstellation kann ein Drittlandbezug bestehen; maßgeblich sind die jeweiligen Vertragsunterlagen und ggf. SCC |
| Hetzner Online GmbH | Hosting einzelner ergänzender Plattformkomponenten | Deutschland / Europäische Union | Kein beabsichtigter Drittlandtransfer im Regelbetrieb |
| Sonstige spezialisierte Infrastruktur- oder Kommunikationsdienstleister | Nur soweit im konkreten Leistungsumfang eingesetzt und dem Verantwortlichen mitgeteilt | Europäische Union oder gemäß Mitteilung | Etwaige Drittlandbezüge werden gesondert ausgewiesen |
3. Third-country transfers
(1) Die produktive Hauptverarbeitung von Kundendaten erfolgt grundsätzlich innerhalb der Europäischen Union. (2) Soweit einzelne Unterauftragsverarbeiter konzernbedingt, supportbedingt oder leistungsbedingt einen Drittlandbezug nicht vollständig ausschließen können, erfolgt eine solche Verarbeitung nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO. (3) Soweit erforderlich, werden für Drittlandübermittlungen geeignete Garantien, insbesondere Standardvertragsklauseln oder sonstige zulässige Transfermechanismen, zugrunde gelegt. (4) Weitergehende Informationen zu Drittlandbezügen stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage im angemessenen Umfang zur Verfügung, soweit dem keine berechtigten Geheimhaltungs- oder Sicherheitsinteressen entgegenstehen.
4. Changes to sub-processors
(1) Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter hinzuzufügen, zu ersetzen oder deren Einsatz anzupassen, soweit dies für die Leistungserbringung erforderlich ist. (2) Der Verantwortliche wird über wesentliche Änderungen in Textform informiert. (3) Widerspruchsrechte des Verantwortlichen richten sich nach dem AVV.