Auftragsverarbeitung

Eingesetzte Dienstleister und Auftragsverarbeiter

Für den Betrieb von UmkreiZ setzen wir die folgenden Dienstleister ein. Soweit sie personenbezogene Daten in unserem Auftrag und nach unseren Weisungen verarbeiten, kommen sie als Auftragsverarbeiter in Betracht:

• Supabase – Hosting, Datenbank, Authentifizierung, Dateispeicherung und serverseitige Funktionen (zentrale Backend-Infrastruktur).
• OpenAI – Verarbeitung der Eingaben für die KI-Funktionen im Anbieterbereich.
• Cloudflare – Bot- und Missbrauchsschutz (Turnstile) bei Registrierung und Anmeldung.
• MapTiler – Bereitstellung von Kartenmaterial und serverseitiger Geokodierung (Umwandlung von Adressen in Geokoordinaten).
• Google Workspace – geschäftliche E-Mail-Kommunikation und interne Bürokommunikation; die konkrete Workspace-Edition und die Abdeckung der Datenregionsrichtlinie werden kontobezogen dokumentiert.
• Google / Firebase Cloud Messaging – gesondert freizugebende Händler-Hinweise, optionale Sicherheits-Pushs und Geräte-Tests; eigenständiger Dienst mit Firebase-Auftragsverarbeitungsbedingungen, nicht automatisch vom Workspace-Vertrag oder dessen Datenregionsrichtlinie erfasst.
• Stripe – Checkout und Kundenportal für kostenpflichtige Anbieterpakete Pro und Premium; je nach Verarbeitung als Auftragsverarbeiter oder eigenständig Verantwortlicher.
• Brevo – transaktionale Einladungen, angeforderte Lead-Einrichtungs-/Wiederherstellungslinks und Sicherheitswarnungen; kein damit verbundenes Newsletter-Abonnement.

Die App wird zudem über die App-Stores von Apple und Google verteilt; diese Anbieter verarbeiten Daten im Rahmen der Distribution teils eigenverantwortlich. Für Anbieterpakete Pro und Premium verarbeitet Stripe als Zahlungsdienstleister die für Checkout, Abrechnung und Kundenportal erforderlichen Daten.

Lead-Gerät, Sicherheitsmeldungen und Geräte-Tests

Supabase verarbeitet Geräteprüfwerte, Sitzungsbindung, Lead-Zuordnung, Anfragen, Entscheidungen und Sicherheitsnachweise. Brevo erhält für angeforderte Lead-Mails Empfängeradresse und Nachricht einschließlich des einmaligen Links sowie für erforderliche Sicherheitswarnungen die nötigen Warninhalte. Die getrennt aktivierbare mobile Push-Anbindung verwendet FCM; bei gesondert freigegebener iOS-Zustellung wäre zusätzlich Apple/APNs beteiligt. Eine OS-Berechtigung, Lead-Rolle oder Provider-Probe ist keine Einwilligung beziehungsweise kein Zustellnachweis.

Die für den konkreten Dienst geltende Rechtseinheit, Vertragsrolle, Unterauftragsverarbeiter und Transfergrundlage müssen dienst- und kontobezogen geprüft werden. Die App-Store-Verteilung allein ersetzt keine APNs-Prüfung. Es wird keine ausschließliche EU-Verarbeitung oder vollständige automatische Nachweislöschung zugesichert. Zweck, Rechtsgrundlage, Widerruf und der tatsächliche Speicherstand stehen in den Datenschutzabschnitten Lead-Gerät und Sicherheits-Pushs und E-Mail-Warnungen.

Social-Media-Plattformen und interne Redaktion

Die vorbereitete interne Redaktion nutzt die vorhandene Supabase-Infrastruktur für Fakten, Quellen, Gültigkeit, Rechtebelege und Freigabe-/Beitragsstatus. Ein interner Entwurf ist keine Übermittlung an eine Social-Media-Plattform. Externe Links und eigene UmkreiZ-Kanäle sind davon zu unterscheiden; insbesondere wird eine Plattform nicht allein durch einen Link zum Auftragsverarbeiter von UmkreiZ. Händlerkonten werden damit nicht verbunden, neue Connectoren nicht aktiviert.

Für einen separat freizugebenden Facebook-/Instagram-Kanal sind die konkrete Meta-Vertragsrolle, gegebenenfalls gemeinsame Verantwortlichkeit für Plattformstatistiken und die Drittlandübermittlung zu prüfen. Eine pauschale Art.-28-Einordnung oder ein bereits abgeschlossenes Art.-26-Verhältnis wird nicht behauptet. Es werden keine Lead-Links, Sicherheitsmeldungen oder FCM-Tokens als redaktionelle Inhalte übergeben. Weitere Angaben enthält der Social-Media-Datenschutzabschnitt.

Horizont: Backend-Verarbeitung und öffentliche Datenquelle

Soweit Horizont freigeschaltet ist, verarbeitet die bestehende Backend-Infrastruktur von Supabase den erforderlichen eigenen Unternehmens-, Standort- und Deal-Kontext sowie Mitgliedsberechtigungen, Hinweiszustände, Aktivitäten und Zuordnungen. Datenkategorien, Rechtsgrundlagen und die Unterscheidung zwischen Abruffenster und Löschung erläutert Ziffer 6.1 der Datenschutzerklärung. Die bloße Anzeige regelbasierter Wetterhinweise löst keinen externen KI-Aufruf aus; für gesondert angeforderte KI-Funktionen gelten die bestehenden Hinweise zu OpenAI.

Der Deutsche Wetterdienst (DWD) ist davon getrennt als öffentliche Datenquelle für Wettervorhersagen eingebunden, nicht als Auftragsverarbeiter der Unternehmens- und Mitgliedsdaten. UmkreiZ lädt öffentliche Dateien serverseitig herunter, ohne Nutzer-GPS-Daten, Unternehmensangaben oder Kundeneingaben an den DWD zu senden. Der DWD erhält beim HTTP-Abruf technische Verbindungsdaten wie Server-IP-Adresse, Abrufzeitpunkt und Angaben zur angeforderten Datei. Die Anzeige lädt keine DWD-Ressourcen direkt vom Endgerät. Herkunft und Nutzungsrechte sind im Wetterdaten-Quellenhinweis beschrieben; aus der Datenlizenz folgt keine Zusicherung eines Auftragsverarbeitungsvertrags oder einer bestimmten Datenregion.

Horizont: regionale Veranstaltungsdaten

Bei freigeschalteter Event-Funktion verarbeitet Supabase die normalisierten Veranstaltungs- und Provenienzdaten im Auftrag von UmkreiZ. Die Verfügbarkeit hängt von Quellenfreigabe, Region, Datenlage und Tarif ab. Eine Eventquelle oder ein Veranstaltungsdatenanbieter wird nicht allein durch eine technische Einbindung zum Auftragsverarbeiter. Die bloße Prüfung eines möglichen DZT-, kommunalen oder sonstigen Anbieters ändert die Rollen- und Empfängerangabe nicht.

Vor einer Aktivierung werden der konkrete Anbieter, seine Vertragsrolle, die datensatzbezogene Lizenz, Attribution, Originalquelle, kommerzielle Nutzung, Provenienz, Aktualität, Löschung, geografische Abdeckung und gegebenenfalls Drittland- oder Unterauftragsverarbeitung gesondert geprüft. Eine öffentliche oder offene Datenquelle ist nicht allein deshalb Auftragsverarbeiter von UmkreiZ; umgekehrt ersetzt eine Datenlizenz keine Datenschutz- oder Transferprüfung. Nutzer-GPS, Unternehmensangaben und Kundeneingaben werden für den serverseitigen Quellenabruf nicht an die Quelle übermittelt, soweit keine gesondert freigegebene Funktion dies ausdrücklich erfordert.

Die jeweilige Quelle bleibt bis zum Abschluss dieser Prüfung gesperrt. Die möglichen Datenkategorien, technischen Schutzmaßnahmen und die 90-Tage-Aufbewahrung von Event- und Provenienzdaten beschreibt die Datenschutzerklärung zu regionalen Veranstaltungsdaten.

Eine künftig eingesetzte Eventquelle wird nicht allein aufgrund ihrer Datenbereitstellung als Auftragsverarbeiter bezeichnet. Ihre konkrete Rolle, mögliche technische Verbindungsdaten beim Serverabruf sowie Vertrags-, Unterauftragsverarbeitungs- und Transferangaben werden vor Aktivierung geprüft und nur nach dieser Prüfung veröffentlicht.

Die technische Freigabe setzt zusätzlich voraus, dass vollständige Abrufstände, stabile externe Kennungen sowie Aktualisierungs-, Absage-, Verschiebungs- und Löschinformationen nachvollziehbar verarbeitet werden können. Ohne diesen Nachweis wird keine Eventquelle als produktive Verarbeitungskette eingesetzt.

Firebase Cloud Messaging: freiwillige Händler-Hinweise

Der Händler-Push wird in einem begrenzten Android-Pilot erprobt und ist nicht allgemein für alle Konten freigegeben. Eine gesonderte Freischaltung, Einwilligung und berechtigte Geräteanbindung bleiben erforderlich. Nutzer-Push und iOS/APNs werden damit nicht freigegeben. Datenkategorien, Einwilligung, OS-Berechtigung, begrenzte Auswertung und Speicherfristen erläutert Ziffer 6.3 der Datenschutzerklärung.

Supabase übernimmt Kontozuordnung, Mitglieds- und Berechtigungsprüfung, Auswahl, Versandregeln und Speicherung. Der serverseitige Versanddienst übermittelt an FCM den Registrierungstoken, Titel und Nachrichtentext, einen App-Link zur Chance und eine technische Nachrichtenkennung. Google verwendet hierfür eine eigene Firebase-Installationskennung. Push-Öffnung und spätere Deal-Zuordnung werden im UmkreiZ-Backend ausgewertet, nicht mit einem Firebase-Analytics-SDK. Die Marketing-Website und das Web-Anbieterportal binden dafür kein Firebase-Messaging-SDK ein.

Für ausgewählte Horizont-Chancen kann OpenAI vor dem Versand eine kurze Einschätzung aus der Chance und dem erforderlichen Unternehmenskontext erstellen. Supabase prüft vor Beginn die Push-Auswahl, Einwilligung und Empfangsberechtigung einschließlich aktiver Geräteanbindung. Regelbasierte Angebots-Erinnerungen verwenden keine KI; ihre Freigabe und Einwilligung sind von Horizont getrennt. Einzelheiten stehen in Ziffer 6.3 der Datenschutzerklärung.

Die Firebase-Servicebedingungen verweisen für FCM auf die Google APIs Terms of Service und die Firebase Data Processing and Security Terms. Letztere regeln die Auftragsverarbeitung; Google handelt bei Anwendung europäischen Datenschutzrechts für die dort erfassten personenbezogenen Kundendaten als Auftragsverarbeiter. Die API-Standardbedingungen nennen Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043, USA, sofern keine abweichenden dienstbezogenen Zusatzbedingungen gelten. Kontobezogene Annahme und Rechtseinheit werden dokumentiert.

Abschnitt 10 der Firebase-Datenschutzbedingungen sieht für betroffene Drittlandübermittlungen eine anwendbare Transferlösung, insbesondere das EU-US Data Privacy Framework für erfasste, zertifizierte US-Gesellschaften, und gegebenenfalls Standardvertragsklauseln vor. Eine Verarbeitung außerhalb der EU, insbesondere in den USA, ist möglich. Die kontobezogene Vertrags- und Transferprüfung ist weiterhin offen; eine technische Betreiberfreigabe bestätigt ihre Anwendbarkeit nicht; eine ausschließliche EU-Verarbeitung wird nicht zugesichert. Informationen zu weiteren Empfängern stehen in der Liste der Firebase-Unterauftragnehmer. Weitere Angaben und Informationen zu Garantien können über [email protected] angefordert werden.

Die Löschung eines Registrierungstokens ist von der Löschung der Firebase-Installationskennung getrennt. Der aktualisierte App-Ablauf löscht beim entsprechenden Gerätewiderruf den Backend-Token nach erfolgreicher Deaktivierung und versucht die Tokenlöschung bei Google sowie die gesonderte Firebase-Installationslöschung. Dafür ist die neue App-Version erforderlich. Fehlgeschlagene Bereinigung wird erneut versucht. Nach Googles Aufbewahrungshinweisen bleibt die Installationskennung bis zu einem API-Löschaufruf gespeichert; danach kann ihre Entfernung aus Live- und Backup-Systemen bis zu 180 Tage dauern. Minimale Einwilligungs- und Widerrufnachweise werden als Betreiberentscheidung bis drei Jahre nach Widerruf gespeichert, ohne Tokens, Gerätekennungen, Plattformdaten oder Versandinhalte. Deaktivierte operative Einstellungen werden nach 30 Tagen entfernt. Die neue Backend-Migration setzt diese Fristen um; die bestehenden kurzen Fristen für Geräte- und Versanddaten bleiben unverändert.

Vertragliche Grundlage

Auftragsverarbeitungsverträge, konkrete Vertragspartner, Unterauftragsverarbeiter und gegebenenfalls Transfergarantien werden für den jeweiligen Dienst kontobezogen geführt und regelmäßig überprüft. App-Store-Betreiber werden insoweit als eigenständig Verantwortliche tätig.

Drittlandtransfer

Bei einzelnen Diensten kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums oder durch global betriebene Infrastruktur stattfinden, insbesondere bei Firebase Cloud Messaging, Google Workspace, Stripe, OpenAI, Cloudflare und Brevo. Für jeden konkreten Dienst sind Rechtseinheit, Empfängerländer, Unterauftragsverarbeiter und Transfermechanismus kontobezogen zu prüfen. Diese öffentliche Seite bestätigt deshalb keine pauschale EU-Region, kein bestimmtes DPA und keine bestimmte Transfergarantie. Eine Drittlandübermittlung darf nur erfolgen, wenn die jeweils geltende Grundlage nach Art. 44 ff. DSGVO geprüft und dokumentiert ist.

Technische und organisatorische Maßnahmen

Wir setzen Transportverschlüsselung, restriktive und rollenbasierte Zugriffsrechte (Row-Level-Security), Protokollierung sicherheitsrelevanter Vorgänge, serverseitige Validierung von Berechtigungen sowie eine getrennte Verarbeitung öffentlicher und nicht öffentlicher Daten ein.