Entwurf – juristische Prüfung ausstehend (A15)
Unterauftragnehmer
Anbieter: Jasmann Werk 52, Inhaber Muhammad Saeed, Elberfelder Str. 72, 42553 Velbert (Einzelunternehmen).
Die Liste
| Unterauftragnehmer | Leistung | Welche Daten | Ort der Verarbeitung | Stand |
|---|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server, Speicher, Netz (Hosting) | alle Daten der Anwendung, Dateien verschlüsselt | Deutschland | im Einsatz |
| Heinlein Hosting GmbH (mailbox.org), Berlin | Versand der E-Mails der Anwendung: Bestätigungscodes, Erinnerungen, Meldungen – und, wenn der Kunde den Versand in S9 nutzt, die E-Mail an seinen Kunden mit dem Bericht im Anhang | E-Mail-Adressen, Namen, Nachrichtentext, Anhänge | Deutschland | vorgesehen – das Postfach wird noch eingerichtet (A11); bis dahin versendet die Anwendung nichts |
| Stripe Payments Europe, Ltd., Dublin, Irland | Zahlungsabwicklung über die gehostete Bezahlseite (Stripe Checkout) | Name, E-Mail, Rechnungsanschrift, Zahlungsdaten des Kunden – keine Zeichnungen, keine Messdaten | EU (Irland); Stripe gehört zu einem Konzern mit Sitz in den USA | vorgesehen (A12) |
| Werk24 GmbH, München | Lesen von Zeichnungen als zusätzlicher Leser – nur, wenn der Kunde es für seinen Betrieb einschaltet | die hochgeladene Zeichnung | nach Angabe von Werk24 Region EU (Frankfurt am Main, Sicherung Stockholm) bei einem Cloud-Anbieter | nicht im Einsatz. Voraussetzung vor jedem Einsatz: Vertrag zur Auftragsverarbeitung mit schriftlich bestätigter Null-Retention und Region EU (A10) |
| Anthropic (Vertragspartner laut Vertrag: Anthropic PBC, USA, oder die europäische Gesellschaft – vom Betreiber zu bestätigen (A13)) | optionale Textfunktionen: Entwurf einer E-Mail an den Kunden, Vorschlag für eine Maßnahme bei n.i.O. | nur Text, den der Nutzer für die Funktion freigibt – niemals eine Zeichnung, ein Ausschnitt oder ein Seitenbild | USA (Drittland) | nicht im Einsatz. Nur nach Einschalten durch den Kunden je Betrieb; Grundlage für die Übermittlung: Standardvertragsklauseln bzw. EU-US Data Privacy Framework vom Betreiber zu bestätigen (A13) |
Zu Stripe: Die Zahlungsdaten gehören zum Vertragsverhältnis zwischen Kunde und Anbieter, das der Anbieter als Verantwortlicher führt. Stripe ist deshalb im Sinne des AVV kein Unterauftragnehmer für Kundendaten; aufgeführt ist Stripe der Vollständigkeit halber.
Zu mailbox.org: Codes und Erinnerungen versendet der Anbieter für eigene Zwecke; die E-Mail mit dem Bericht dagegen im Auftrag des Kunden. Für beides gilt derselbe Dienst.
Wer kein Unterauftragnehmer ist
- Eigener Rechner des Anbieters für das Training des Lesers. Stimmt ein Kunde dem Training zu (Vorgabe: aus), können Korrekturbeispiele – der Ausschnitt eines Merkmals, der gelesene und der korrigierte Wert – auf einen Rechner übertragen werden, der dem Anbieter gehört und von ihm betrieben wird (Standort Velbert, Deutschland). Das ist eine Verarbeitung durch den Anbieter selbst, kein Dritter. Ganze Zeichnungen werden dafür nicht verwendet, und nichts davon geht an einen fremden Dienst. Stand: der Rechner ist noch nicht angebunden.
- Umsatzsteuer-Prüfung (VIES der Europäischen Kommission). Bei der Registrierung wird allein die angegebene USt-IdNr. abgefragt. Das ist eine eigene Prüfung des Anbieters bei einer Behörde, keine Auftragsverarbeitung.
- GitHub baut die Programmabbilder der Anwendung. Dort liegen keine Kundendaten.
- Dienste, die der Kunde selbst mit eigenem Konto verbindet – etwa die Prüfmittelverwaltung Kalibrat über deren Schnittstelle –, sind nicht Unterauftragnehmer des Anbieters. Kalibrat ist ein Produkt desselben Anbieters; die Verbindung richtet der Kunde mit einem eigenen Schlüssel ein.
Änderungen an der Liste
Der Anbieter teilt dem Kunden mindestens vier Wochen vor dem Einsatz eines neuen oder dem Wechsel eines Unterauftragnehmers die Änderung in Textform mit. Der Kunde kann aus wichtigem Grund innerhalb von zwei Wochen widersprechen; einigen sich die Parteien nicht, kann jede Seite den Vertrag zum Wirksamwerden der Änderung kündigen. Einzelheiten im AVV.
Dienste, die nur nach Einschalten durch den Kunden arbeiten (Werk24, KI-Textfunktionen), werden erst genutzt, wenn der Kunde sie in seinem Betrieb einschaltet – die Liste oben bleibt trotzdem vollständig.