Unterauftragsverarbeiter

Anlage 3 zum Auftragsverarbeitungsvertrag Verzeichnis der Unterauftragsverarbeiter Fassung 2026-08-17 · gültig ab 17. August 2026 Auftragsverarbeiter: HeWo Systems GbR, Elbchaussee 17, 22765 Hamburg Der Verantwortliche erteilt nach Ziffer 9.1 des Auftragsverarbeitungsvertrags die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Stellen. Vor der Hinzuziehung einer weiteren Stelle oder dem Austausch einer bestehenden wird der Verantwortliche mindestens 30 Tage vorher in Textform informiert und kann widersprechen. 1. INFRASTRUKTUR (IMMER EINGESETZT) 1.1 Supabase, Inc. Leistung: Datenbank, Benutzerverwaltung und Authentifizierung, Dateispeicher für Fotos, Dokumente und Belege Verarbeitete Daten: sämtliche in Anlage 1 genannten Kategorien Verarbeitungsort: Europäische Union Übermittlungsinstrument: Auftragsverarbeitungsvertrag des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission für den Fall des Zugriffs aus einem Drittland 1.2 Vercel, Inc. Leistung: Betrieb und Auslieferung der Webanwendung und der Programmier- schnittstellen, technische Betriebsprotokolle Verarbeitete Daten: Inhalte der jeweiligen Anfrage, Netzwerkadresse, Gerätekennung, technische Protokolldaten Verarbeitungsort: Europäische Union Übermittlungsinstrument: Auftragsverarbeitungsvertrag des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission 1.3 Resend (Plus Five Five, Inc.) Leistung: Versand von Konto- und Systemnachrichten, etwa Einladungen, Kennwort-Rücksetzungen und Benachrichtigungen Verarbeitete Daten: E-Mail-Adresse, Name, Inhalt der jeweiligen Nachricht, Zustellprotokoll Verarbeitungsort: Europäische Union und Vereinigte Staaten von Amerika Übermittlungsinstrument: Auftragsverarbeitungsvertrag des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission 1.4 Functional Software, Inc. (Sentry) 45 Fremont Street, 8th Floor, San Francisco, CA 94105, Vereinigte Staaten von Amerika Leistung: Erkennung und Auswertung von Programmfehlern und Abstürzen der Webanwendung und der mobilen Anwendung Verarbeitete Daten: Fehlermeldung und technischer Ablaufpfad, Fassung und Baunummer der Anwendung, Art des Geräts und des Betriebssystems, Zeitpunkt, aufgerufener Pfad ohne Abfrageteil sowie eine pseudonyme Kennung des Benutzerkontos. Inhalte aus der Auftragsverarbeitung werden vor der Übermittlung automatisiert entfernt; übermittelt werden keine Namen, keine E-Mail-Adressen, keine Zugangsmerkmale und keine Netzwerkadressen. Verarbeitungsort: Europäische Union (Rechenzentrum Frankfurt am Main) Übermittlungsinstrument: Data Processing Amendment des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission Speicherdauer: 30 Tage 2. OPTIONALE FUNKTIONEN (NUR BEI NUTZUNG) 2.1 Microsoft Ireland Operations Limited One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland Leistung a) Sprach- und Textauswertung über den Azure OpenAI Service: Umwandlung gesprochener Angaben in strukturierte Auftragsdaten. Nur bei aktiver Nutzung der Sprachfunktion. Verarbeitete Daten: Sprachaufnahme, Transkript, zur Zuordnung erforderlicher Ausschnitt des Materialkatalogs Verarbeitungsort: Spracherkennung in Schweden; Textauswertung innerhalb der EU-Datenzone. Für begrenzte, vom Anbieter dokumentierte Betriebs-, Sicherheits- und Supportfälle ist eine Verarbeitung außerhalb der EU-Datengrenze möglich. Die Modelle arbeiten zustandslos; Eingaben und Ausgaben werden nicht zum Training verwendet. Leistung b) Kalenderanbindung über Microsoft Graph: Abgleich von Terminen mit einem Outlook-Kalender des Verantwortlichen. Nur nach ausdrücklicher Verbindung des Kontos. Verarbeitete Daten: Termindaten einschließlich Titel, Zeitraum, Ort und Teilnehmenden Verarbeitungsort: Europäische Union Leistung c) Anmeldung mit einem Microsoft-Konto, sofern der Verantwortliche diese Anmeldeart nutzt. Verarbeitete Daten: Kennung und E-Mail-Adresse des anmeldenden Kontos Übermittlungsinstrument für a) bis c): Microsoft Products and Services Data Protection Addendum einschließlich der Standardvertragsklauseln der Europäischen Kommission, soweit erforderlich 2.2 Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland Leistung: Zustellung von Push-Benachrichtigungen an Android-Geräte über Firebase Cloud Messaging. Nur nach Freigabe der Benachrichtigungen durch die nutzende Person. Verarbeitete Daten: Push-Kennung des Geräts, Titel und Kurztext der Benachrichtigung Verarbeitungsort: Europäische Union und Vereinigte Staaten von Amerika Übermittlungsinstrument: Auftragsverarbeitungsvertrag des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission 2.3 Apple Distribution International Ltd. Hollyhill Industrial Estate, Hollyhill, Cork, Irland Leistung: Zustellung von Push-Benachrichtigungen an Geräte mit iOS über den Apple Push Notification service. Nur nach Freigabe der Benachrichtigungen durch die nutzende Person. Verarbeitete Daten: Push-Kennung des Geräts, Titel und Kurztext der Benachrichtigung Verarbeitungsort: Europäische Union und Vereinigte Staaten von Amerika Übermittlungsinstrument: Auftragsverarbeitungsvertrag des Anbieters einschließlich der Standardvertragsklauseln der Europäischen Kommission 3. HINWEIS ZUR ABGRENZUNG Für die Abwicklung des Abonnements zwischen dem Verantwortlichen und HeWo Systems GbR wird ein Zahlungsdienstleister eingesetzt. Dabei verarbeitete Daten — Rechnungsanschrift und Zahlungsdaten des Betriebs — betreffen das Vertragsverhältnis der Parteien untereinander. Insoweit ist HeWo Systems GbR selbst Verantwortlicher und nicht Auftragsverarbeiter; diese Verarbeitung ist nicht Gegenstand des Auftragsverarbeitungsvertrags und daher nicht als Unterauftragsverarbeitung aufgeführt. Einzelheiten hierzu enthält die Datenschutzerklärung. Ebenfalls nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten des Verantwortlichen, etwa Telekommunikationsdienste. 4. AKTUALITÄT Die jeweils geltende Fassung dieser Anlage ist unter https://app.hewosystems.com/subprozessoren abrufbar. Änderungen werden nach Ziffer 9.2 des Auftragsverarbeitungsvertrags vorab mitgeteilt.